SSVC で脆弱性対応の優先順位を判定する（今すぐか、定期対応か）
脆弱性を「いま止めてでも直す」のか「次のメンテナンスで直す」のかを、 CVSS の点数ではなく自分の環境の条件から決めるための判定です。悪用の状況・公開範囲・自動化のしやすさ・人への影響の 4点を選ぶと、CERT/CC が公開している SSVC の決定表を引いて結論を返します。選んだ内容はブラウザの中だけで処理し、どこにも送信しません。登録も不要です。
通常のメンテナンス計画に載せて、決まった周期の中で直す。
- 人への影響
- 中（Medium）（安全性 × 任務の表から自動で決まります）
- 使った決定表
- Deployer Patch Application Priority 1.0.0
条件を選ぶ
その脆弱性が実際に使われているか。KEV 収載や攻撃観測の報告が判断材料になります。
公開された攻撃コードがある、または攻撃手法が広く知られている。
その資産にどこから到達できるか。同じ製品でも、社内検証機と公開サーバでは変わります。
インターネットなど、現実的にアクセスを制限できない広いネットワークにある。
偵察から悪用までを機械的に回せるか。回せるなら、標的にされるかどうかは運の問題ではなくなります。
キルチェーンの1〜4段階（偵察・武器化・配送・悪用）を確実に自動化できる。
悪用されたとき、人の安全や社会基盤にどこまで及ぶか。多くの業務システムは「軽微」です。
最悪でも軽傷。安全余裕のわずかな低下、軽微な物損、カウンセリングを要する程度の心理的影響。
組織の必須機能（MEF: Mission Essential Function）がどこまで止まるか。
いずれかの必須機能が許容時間を超えて停止する。組織の任務は低下するが、しばらくは遂行できる。
悪用の状況だけを変えるとどうなるか
ほかの条件を今の選択のままにして、悪用の状況だけを動かした結果です。 「PoC が出た」「悪用が観測された」という一報で、対応の段取りをどこまで 変えるべきかの目安になります。
| 無し（None） | 定期対応（Scheduled） |
|---|---|
| 実証コードあり（Public PoC） | 定期対応（Scheduled） |
| 悪用が観測されている（Active） | 臨時対応（Out-of-Cycle） |
使い方の例
インターネットに公開している Web サーバに、実証コードが公開された脆弱性が 見つかったとします。自動化可能で、人の安全には関わらないが、止まると必須機能が 落ちる。この条件（初期値がこれです）は「人への影響 = 中（Medium）」となり、 結論は定期対応（Scheduled）です。 通常のメンテナンス周期に載せれば足ります。
ここで「悪用の状況」を悪用が観測されているに変えると、結論は臨時対応（Out-of-Cycle）に上がります。逆に、同じ CVE でも「公開範囲」を限定に変えても、悪用が観測されている 限り臨時対応のままです。CVSS の点数は1つでも、置かれ方で結論は変わるということです。
4つの結論の意味
- 見送り（Defer）
- 今は対応しない。次の棚卸しのときに条件が変わっていないか見直す。
- 定期対応（Scheduled）
- 通常のメンテナンス計画に載せて、決まった周期の中で直す。
- 臨時対応（Out-of-Cycle）
- 通常の周期を待たずに前倒しする。計画外の作業として枠を取る必要がある。
- 即時対応（Immediate）
- すぐに対応する。必要ならサービス停止などの通常運用の中断も選択肢に入れる。
使っている決定表の出典
決定表は当サイトが作ったものではありません。CERT/CC が公開している SSVC のDeployer Treeの Deployer Patch Application Priority 1.0.0（72 行）と、 安全性 × 任務から人への影響を導く表を、公式リポジトリの CSV からそのまま転記しています（2026-08-20 取得）。 原本はこのサイトのリポジトリにも置いてあり、自動テストが1行ずつ突き合わせています。
SSVC は組織ごとに決定表を調整して使うことも想定された枠組みです。ここで出るのは CERT/CC の標準の運用者向け決定表による結論であり、自組織の基準がある場合はそちらが 優先します。判断の材料として使ってください。
あわせて読む
- 日誌 — CVE の対処記録該当判定・緩和・恒久対応・検知まで、CVE を1件ずつ手順にしています。
- 記事アーカイブ過去の対処記録の一覧。
- セキュリティニュース悪用の状況を判断するための一次情報の入口。
- CVSS ベクタ読み解きツール点数の内訳を見るときはこちら（別サイト）。