悪用が確認されている脆弱性とは【用語集詳細】

カテゴリ

用語集 

タグ

セキュリティ対策  サイバー安全保障  用語集  用語集：あ行  用語集：あ  脆弱性 

・ 悪用が確認されている脆弱性（Known Eploited Vulnerability、略称：KEV）は、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が運用する脆弱性カタログです。
日本語では「悪用された脆弱性」、「既知の悪用された脆弱性」、「悪用済み脆弱性」とも表記されます。
KEVは、これまでにAPTやサイバー攻撃者が実際に悪用していることが確認された既知の脆弱性をリスト化し、随時アップデートしています。
このカタログへの基本的な登録基準は、CVEが付与されていること、悪用が確認されていること、明確な対応策が存在することです。

連邦政府が発簡した「Binding Operational Directive（BOD）22-01」（拘束力のある運用指示）に基づき、すべての連邦政府文民機関（FCEB）は、KEVカタログの各脆弱性に記載された期限までに、当該脆弱性に対処することが義務付けられています。
またCISAは、拘束力はないものの、すべての機関、自治政府、自治体、民間企業がこのリストに記載された脆弱性に対処することを推奨しています。

悪用が確認されている脆弱性は、2022年11月時点で857件に達しています。
この膨大な件数すべてを同時に管理することは困難であるため、CISAはステークホルダーに特化した脆弱性管理モデルであるSSVCとの併用が望ましいとしています。