CSAFとは
（アドバイザリの標準フォーマット）

CSAFで何ができるのか

CSAFの最大の価値は、脆弱性情報を「人が読める」だけでなく 機械処理しやすくする ことです。

OASISの抽象説明どおり、CSAFは製品、脆弱性、影響、対策を構造化して持てるため、OEMやサプライヤーの間で advisory をデータとして交換したり、ツール側で読み込んで自動処理したりしやすくなります。
実務の観点では、同じ内容をPDF、Excel、メールで何度も手入力（転記）する負荷を減らす方向で効果を発揮します。

また、CSAF には Profile（用途別の型） があります。

• Security Advisory profile脆弱性とその対策を表す一般的な advisory 向け
• VEX profile「その製品が当該脆弱性に影響する／しない理由」を表現する用途向け

OASISは VEX profile の主目的を、「ある製品が、ある脆弱性の影響を受けるか受けないか、そしてその理由を述べること」だと明記しています。

SBOM・VEXとの違い

ここは非常によく混同されるポイントです。以下のように整理してください。

特にOASISの仕様では、CSAFの VEX profile が製品ごとの affected / not affected / under investigation などを扱う前提になっており、CSAFのJSON構造の中でVEX的な情報をやり取りできる設計になっています。

サプライヤー実務でどこに出てくる？

CSAFがサプライヤーの実務で登場するのは、主に以下の場面です。

• OEMや上流ベンダーから、構造化された advisory をデータとして受け取る時
• 自社から（顧客やOEMへ向けて） advisory を機械可読な形で返す時

特に、「どの製品のどの版数に影響があり、どの版数は影響しないか」「回避策や修正版は何か」といった情報を、手作業ではなくシステム間でやり取りしたい時に価値が出ます。

よくある誤解

• 誤解1：CSAFを使えば運用が自動で整う

  違います。 CSAFは advisory を交換するための標準であって、社内の脆弱性受付、影響判定、証跡管理、承認フローを代替するものではありません。まず必要なのは、社内で対象版数・結論・根拠が正しく整理されていることです。

• 誤解2：CSAF ＝ VEX である

  違います。 VEXはCSAFの中で使える用途（Profile）の1つに過ぎず、CSAF全体はそれよりも広いセキュリティアドバイザリ全般の枠組みです。

• 誤解3：昔の CVRF と同じでよい

  アップデートされています。 CSAF 2.0 の仕様ページでは、CSAFは CSAF-CVRF 1.2 を置き換える/引き継ぐものとして整理されています。つまり、CSAFは CVRF の系譜を引き継ぎつつ、現在の標準としてJSONで整備されたものです。

---

FAQ：CSAFとは