脆弱性対応業務（ひな形）
アサイン表＆進捗管理テンプレ
（CVE/トリアージ/VEXを期限内に回す）
脆弱性対応（CVE対応）が回らない原因の多くは、技術ではなく 「誰がやるか」「いつまでか」「何を残すか」が曖昧なこと にあります。
結果として、兼務体制ほどこうなります。
- 受付はしたが、担当が決まらず止まる
- トリアージ（一次仕分け）がブレて、優先度が迷子になる
- OEM照会の期限（SLA）だけが迫り、一次回答が遅れる
- 「影響なし」の根拠・証跡が残らず、追加質問が止まらない
そこでこの記事では、そのまま使える「アサイン表」と「進捗管理台帳」のテンプレを公開します。
最初は“完璧なプロセス”ではなく、期限と証跡が残る最小運用から始めるのが勝ち筋です。
このテンプレで管理する範囲（最小の“脆弱性対応業務”）
本テンプレは、次の業務を「抜け漏れなく」「期限内に」回すためのものです。
まず決める：最小の役割（兼務前提でOK）
脆弱性対応は、最低でも「4役」だけ固定すると回り始めます。
- 受付/窓口（PSIRT役）： 案件ID、期限、一次回答の送付
- 技術評価（設計/開発）： 対象版数、成立条件、対策方針
- 品質/承認（QA/上長）： 対外文面・提出物の承認
- 実装/リリース（開発/生産）： 恒久対策、配布、完了報告
【テンプレ①】アサイン表（RACI）テンプレ（TSV）
ここから下をコピーして、ExcelのA1セルに貼り付けてください（タブ区切りで自動展開されます）。
【テンプレ②】進捗管理台帳（案件トラッカー）テンプレ（TSV）
ここから下をコピーして、ExcelのA1セルに貼り付けてください。
列は増やすより、まず“更新できる”ことを優先してください。
ステータス運用ルール（これだけ固定すると迷いが減る）
台帳のステータスは、細かくしすぎると更新が止まります。最初はこの6つで十分です。
- 受付（案件化済み）
- トリアージ（優先度・次回更新日決定）
- 調査中（対象版数/到達性/前提条件の確認）
- 回答中（一次回答/最終回答の作成・承認）
- 対策中（暫定/恒久、修正版、配布）
- クローズ（提出履歴・証跡が揃った）
このままのテンプレを自社向けに調整（役割、SLA、承認線、列の最小化）したい方はご相談ください。
【無料】オンライン相談を予約するFAQ：台帳運用・アサイン表について
不要ではありません。チケットツールでも、期限（相手/社内）、次回更新日、VEX、決定理由、証跡が揃っていないと監査・OEM照会で再現できません。まずはテンプレの列を“チケット項目”に移植するのが近道です。
調査中のまま放置に見えるのを防ぐためです。結論が出なくても、受領＋次回更新日があればSLA運用が成立し、相手の不安（追加質問）も減ります。
最低限「外部に出す文面の承認」だけは別に置くのがおすすめです。承認が難しい場合は、提出対象（顧客/OEM）とリスクによって承認要否を切るルールを作るだけでも事故が減ります。
「結論の言い回し」が固定化され、決定理由（根拠）とセットで残せるため、追加質問が減ります。台帳がそのままOEM回答書の材料になります。
進捗管理と回答書作成、システムで一元化しませんか？
Auto PSIRT Cloudなら、この台帳テンプレにある「トリアージ」「VEX判定」「期限管理」がすべて組み込まれています。AIが判断をサポートし、ボタン一つでOEMへの回答書が出力されます。