USBは見える。CVEは見えない。
日経朝刊のUSB報道から考える、PSIRT運用の本質
朝、新聞を開いた担当者の手が、少しだけ止まる。
2026年7月2日の日本経済新聞 朝刊1面では、総務省が全自治体を対象にUSBメモリーの利用実態を調査する方針が報じられました。品質保証やPSIRTを兼務している担当者なら、その記事を読みながら、自社の製品セキュリティ対応を思い浮かべたかもしれません。
USBは机の上や引き出しにあります。数えようと思えば、まだ数えられます。では、製品の中に入ったOSSやライブラリ、そこに紐づくCVEはどうでしょうか。
本記事は、同報道をきっかけにした独自解説です。新聞本文や紙面画像の転載は行わず、自動車サプライヤーのCVE・SBOM・PSIRT対応に置き換えて考えます。
USBメモリーのニュースは、自治体だけの話に見えます。けれど、そこで問われているのは「危ないUSBがあるか」だけではありません。組織として、何を使っていて、どこにあり、問題が起きたときに追えるのか。その説明力です。
自動車サプライヤーに置き換えると、同じ問いはCVEとしてやってきます。OEMから一通のメールが届きます。「この脆弱性は、御社の納入製品に影響しますか」。その瞬間に、会社の中にある台帳、担当、判断根拠、承認の流れが静かに試されます。
朝刊のUSB記事を読んで、ふと自社のCVE対応を思い出す
朝の会議前、品質保証の担当者が新聞を読んでいる。USB利用実態の調査という見出しを見て、「うちのUSBは大丈夫だろうか」と思う。そこまでは自然です。
でも、少し時間がたつと別の問いが浮かびます。USBなら、現物を探せる。管理表も作れる。部署に確認もできる。では、製品のファームウェアに含まれるOSSはどうか。数年前に入れたライブラリは、どの製品バージョンに残っているのか。CVEが出たとき、その影響有無を誰が、何を根拠に説明できるのか。
この問いに答えるには、頑張って探すだけでは足りません。日常的に残している台帳と、案件を受け付ける流れと、判断の証跡が必要になります。
USBは見える。製品の中のOSSは見えない。
USBは物理的に見えます。現場に行けば、棚や机や保管箱を確認できます。もちろん管理は簡単ではありませんが、少なくとも「どこにあるか」を探す出発点があります。
一方、OSSやライブラリは製品の中に溶け込んでいます。部品表のように見えることもあれば、ソースコード、ビルド成果物、外部委託先の納品物、過去バージョンの中に埋もれていることもあります。だから、CVE対応では「見えないものを、説明できる形にする」ことが最初の仕事になります。
| USB管理で問われること | CVE・SBOM対応で問われること | 必要になる仕組み |
|---|---|---|
| 何本あるか | 対象製品とバージョンはいくつあるか | 製品台帳 |
| 製造元や型番は何か | どのOSS・ライブラリを使っているか | SBOM管理 |
| 誰が、どこで使っているか | どの製品にどの部品が含まれるか | 製品・部品・版数の紐付け |
| 問題が起きたらどう追うか | CVEが出たら影響範囲をどう絞るか | 脆弱性トリアージ |
| 調達・利用の基準はあるか | 部品採用・更新・例外判断の基準はあるか | PSIRT運用ルール |
| 後から説明できるか | 影響なし、調査中、修正予定の根拠を出せるか | 証跡・回答履歴 |
USBの問題は、備品の話に見えて、実は「説明できる管理体制」の話です。CVE対応も同じです。
OEMからCVE照会が来たとき、会社として答えられるか
OEMがCVE照会を送ってきたとき、求めているのは完璧な防御宣言ではありません。まず必要なのは、会社として受け付け、対象を確認し、判断の前提をそろえ、期限内に次の回答を返すことです。
ところが、メールとExcelだけで回していると、最初の30分が「判断」ではなく「捜索」になります。最新SBOMはどれか。対象製品はどれか。前回似たような照会はあったか。設計の誰に聞くべきか。回答期限はいつか。誰が正式回答を承認するのか。
この段階で迷子になると、技術的な難しさ以前に、組織としての信頼が削られていきます。
探し回る会社で起きる最初の30分
午前9時すぎ、OEMからCVE照会が届きます。担当者はまず、過去メールを検索します。件名は「脆弱性確認依頼」だったか、「CVE-XXXX」だったか、「至急」だったか。前回の回答ファイルは見つかっても、それが最終版なのか途中版なのか分からない。
5分後、共有フォルダを開きます。SBOMらしきExcelは複数あります。ファイル名には日付がありますが、どの製品バージョンに対応しているかは別シートを見ないと分からない。10分後、設計担当にチャットを送ります。「この部品、まだ使っていますか」。相手も会議中です。
20分後、一次回答の文面を考え始めます。でも、何を根拠に「調査中」と書くのか、誰の承認を取るのか、次回回答予定をいつにするのかが決まりません。30分たっても、会社としての受付状態は曖昧なままです。
この30分は、誰かが怠けているから起きるのではありません。台帳、期限、証跡が日常運用に埋め込まれていないから起きます。
Auto PSIRT Cloudがある会社で起きる最初の30分
同じCVE照会でも、Auto PSIRT Cloudがある会社では、最初の30分の使い方が変わります。担当者はまず、照会を案件として登録します。受付番号、期限、対象OEM、対象CVE、担当者、状態が一つの画面にまとまります。
次に、製品台帳とSBOMを確認します。該当しそうな部品、製品バージョン、過去の類似案件、判断履歴を見ながら、技術担当へ確認を依頼します。まだ最終判断は出ていなくても、「どこまで確認し、次に何を返すか」は決められます。
| 経過時間 | やること | Auto PSIRT Cloudで見たい情報 |
|---|---|---|
| 0分 | OEM照会を案件登録 | 受付番号、CVE、回答期限、依頼元 |
| 5分 | 対象製品候補を確認 | 製品台帳、SBOM、バージョン履歴 |
| 10分 | 該当部品と過去案件を確認 | CPE/PURL、過去回答、類似CVE |
| 15分 | 技術担当へ確認依頼 | 担当、期限、確認観点、ステータス |
| 20分 | 一次回答方針を整理 | 調査中、非該当候補、追加確認事項 |
| 30分 | OEMへ一次回答を準備 | 受付済み、確認範囲、次回回答予定 |
理想の30分で重要なのは、無理に結論を急ぐことではありません。会社として受け付け、調査範囲を明らかにし、次に返す約束を置くことです。
必要なのは、根性ではなく台帳・期限・証跡です
PSIRT対応は、気合いで乗り切れるように見える時期があります。件数が少なく、詳しい人が近くにいて、OEMからの照会もたまにしか来ない時期です。
でも、CVEは待ってくれません。SBOM提出、影響判断、修正予定、再照会、監査が重なり始めると、個人の頑張りではなく、日常運用の形が必要になります。
製品、バージョン、SBOM、部品、CVE、案件を紐付けて、探す時間を減らします。
誰が、いつまでに、何を確認するかを見える化し、回答遅延を防ぎます。
影響判断、承認、OEM回答を案件単位で残し、再照会や監査に備えます。
Auto PSIRT Cloudの価値は、脆弱性を消すことではありません。脆弱性が来たときに、会社として迷子にならないことです。
最初に整える5領域
大きな仕組みに見えても、最初に整えることはそれほど多くありません。まずは、OEM照会を受けたときに止まらないための5領域です。
| 領域 | まず整えること | 後で高度化すること |
|---|---|---|
| 受付 | OEM照会・CVE通知の入口を一本化する | 外部ポータル連携 |
| 台帳 | 製品、部品、SBOM、案件を紐付ける | 自動同期・API連携 |
| 期限 | 回答期限、担当、状態を見える化する | SLAレポート自動化 |
| 判断 | 影響あり、影響なし、調査中の根拠を残す | VEX連携 |
| 証跡 | 回答、承認、技術判断を案件単位で保存する | 監査レポート自動生成 |
最初からすべてを自動化する必要はありません。まずは、受け付けたこと、調べていること、判断したこと、回答したことが残る状態にする。そこから、自動照合やAI要約の効果が出てきます。
Auto PSIRT Cloudは、CVE時代の製品セキュリティ台帳
USB管理で必要なのが備品台帳なら、CVE時代の製品セキュリティに必要なのは、製品・SBOM・脆弱性・判断・回答をつなぐ台帳です。
Auto PSIRT Cloudは、SBOM登録、脆弱性情報の収集、SBOMとの照合、確認待ちケースの作成、影響判断、OEM回答準備、証跡管理を一つの流れとして扱います。AIは最終判断を置き換えるものではなく、調査結果の整理や回答下書きを支援する位置付けです。
問われるのは、防御力だけではありません。次に問われるのは、会社として説明できる力です。
朝刊のUSB記事を読みながら、少しだけ胸に引っかかったものがあるなら、それはきっと自社のPSIRT運用を見直す合図です。見えるUSBを数えるように、見えないOSSとCVEも、説明できる形にしておく。その準備が、OEMとの信頼を支えます。
まずデモで確認してほしいこと
デモでは、Excel SBOMを登録したあと、どのCVEが、どの部品に、どの根拠で候補化されるかを確認できます。さらに、確認待ちケース、影響判断、OEM回答案、承認履歴、証跡管理まで、CVE照会が来た日の流れとして見られます。
USBは見えます。CVEは見えません。だからこそ、見えないものを台帳と証跡で扱える形にしておくことが、これからのPSIRT運用の出発点になります。
参考表記
本記事では、2026年7月2日（木）日本経済新聞 朝刊1面「USB 全自治体で調査」の報道をきっかけとして、自動車サプライヤー向けのCVE・SBOM・PSIRT運用を独自に解説しています。新聞本文や紙面画像の転載は行っていません。