SOMPO CYBER SECURITY
悪用が確認されている脆弱性（Known Eploited Vulnerability、略称：KEV）は、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が運用する脆弱性カタログです。
日本語では「悪用された脆弱性」、「既知の悪用された脆弱性」、「悪用済み脆弱性」とも表記されます。
KEVは、これまでにAPTやサイバー攻撃者が実際に悪用していることが確認された既知の脆弱性をリスト化し、随時アップデートしています。
このカタログへの基本的な登録基準は、CVEが付与されていること、悪用が確認されていること、明確な対応策が存在することです。
連邦政府が発簡した「Binding Operational Directive（BOD）22-01」（拘束力のある運用指示）に基づき、すべての連邦政府文民機関（FCEB）は、KEVカタログの各脆弱性に記載された期限までに、当該脆弱性に対処することが義務付けられています。
またCISAは、拘束力はないものの、すべての機関、自治政府、自治体、民間企業がこのリストに記載された脆弱性に対処することを推奨しています。
悪用が確認されている脆弱性は、2022年11月時点で857件に達しています。
この膨大な件数すべてを同時に管理することは困難であるため、CISAはステークホルダーに特化した脆弱性管理モデルであるSSVCとの併用が望ましいとしています。
この領域において、20年を超える現場経験から培った知見や見えてきた課題、またその解決方法など、皆さまの参考になるよう、具体的な例を交え、SOMPO CYBER SECURITYでコンサルタントを務める私、山田 淳二が「リスクアセスメントで築く持続可能な事業インフラ」というテーマで、連載コラムをお届けしています。（過去のコラムはこちら） 本連載の最終章となる本コラムでは、セキュリティ対策における最後...
サプライチェーンにおけるセキュリティリスク管理は、今では経営課題の一つに挙げられています。 本資料は、当社と当社のパートナー企業でもあるLAC社のサプライチェーンセキュリティリスク管理に関する豊富な知見をもつ3名が、座談会で語ったサプライチェーンセキュリティ対策が進まない要因や下請け法を巡る問題などについて、ホワイトペーパーにまとめたものです。なお、こちらは2026年1月より、マイナビニュースが運...
この領域において、20年を超える現場経験から培った知見や見えてきた課題、またその解決方法など、皆さまの参考になるよう、具体的な例を交え、SOMPO CYBER SECURITYでコンサルタントを務める私、山田 淳二が「リスクアセスメントで築く持続可能な事業インフラ」というテーマで、連載コラムをお届けしています。 これまでに、前段であるPart0「なぜ、サイバーセキュリティ対策が必要なのか」で「そも...
この領域において、20年を超える現場経験から培った知見や見えてきた課題、またその解決方法など、皆さまの参考になるよう、具体的な例を交え、SOMPO CYBER SECURITYでコンサルタントを務める私、山田 淳二が「リスクアセスメントで築く持続可能な事業インフラ」というテーマで、連載コラムをお届けしています。 これまでに、 Part0として「なぜ、サイバーセキュリティ対策が必要なのか」という「そ...