BOD 26-04とは
BOD 26-04「Prioritizing Security Updates Based on Risk」は、米国CISA（サイバーセキュリティ・インフラセキュリティ庁）が2026年6月10日に発行した拘束的運用指令です。BOD（Binding Operational Directive）は、米国の連邦民間行政機関（FCEB）に対して法的拘束力を持つ命令で、連邦の情報システムを守るために各省庁が従うべき事項を定めます。
この指令が扱うのは、脆弱性を「どの順番で、いつまでに直すか」という一点です。そして、これまでの前提を大きく変えました。CVSSスコアの高さや一律の期限で並べるのではなく、その脆弱性が実際に攻撃されうるかどうかで期限を振り分ける方式に切り替えたのです。
(1) 修正期限は4つの変数の組み合わせで決まり、3日／14日／60日／次回システム更改に振り分けられる。 (2) 最高リスクの3日ルールでは、パッチ適用だけでなくすでに侵害されていないかのフォレンジック確認も求められる。 (3) BOD 22-01（KEV一律14日）とBOD 19-02は廃止。 (4) 拘束力は米連邦機関のみだが、KEVカタログがそうであったように民間の事実上の標準になる可能性がある。
何が変わったのか
BOD 26-04は、2つの既存指令を廃止して置き換えました。
| 廃止された指令 | 発行時期 | 内容 | BOD 26-04での扱い |
|---|---|---|---|
| BOD 22-01 | 2021年11月 | KEVカタログ掲載の脆弱性を一律の期限（原則14日）で修正 | 一律期限を廃し、リスクに応じて3日〜次回更改まで分散 |
| BOD 19-02 | 2019年4月 | インターネット接続システムの脆弱性修正要件 | 「曝露」を4変数の1つとして統合 |
従来の問題は明確でした。KEV掲載の脆弱性はすべて同じ14日、それ以外はCVSSスコア基準——という運用では、「社内の閉じたサーバーにあるCVSS 9.8」と「インターネットに露出したCVSS 7.5」が同じ扱いになってしまいます。実際に攻撃者が到達できるのは後者なのに、です。
BOD 26-04はこの倒錯を、脆弱性そのものではなく資産をリスクの単位として扱うことで解消しました。同じCVEでも、それが外部公開のWebサーバーにあるのか、社内の検証環境にあるのかで期限が変わります。
修正期限を決める4つの変数
BOD 26-04はSSVC（Stakeholder-Specific Vulnerability Categorization）の考え方に基づき、以下の4変数で脆弱性を分類します。
| 変数 | 判定内容 | データの入手元 |
|---|---|---|
| ① 資産の曝露 （Asset Exposure） | その資産に、認証なしで公開ネットワークからアクセスできるか | 自組織の資産インベントリ |
| ② KEV掲載 （KEV Status） | 該当CVEがCISAのKnown Exploited Vulnerabilities カタログに載っているか | CISA（KEVカタログ） |
| ③ 悪用の自動化 （Exploit Automation） | 攻撃者が悪用の全工程を自動化できるか | CISA（Vulnrichment） |
| ④ 技術的影響 （Technical Impact） | 悪用に成功した攻撃者が得るのは完全な制御か、部分的な制御か | CISA（Vulnrichment） |
KEV掲載・悪用の自動化可能性・技術的影響の3つは、CISAがVulnrichmentとしてデータを提供します。一方、①の「その資産が外部に露出しているか」を知っているのは自組織だけです。つまりこの仕組みが機能するかどうかは、正確な資産インベントリと曝露状況の把握にかかっています。ここが実務上の最大の難所です。
リスク階層と修正期限
4変数の組み合わせにより、修正期限は次のように振り分けられます。
| 曝露 | KEV | 自動化 | 技術的影響 | 修正期限 |
|---|---|---|---|---|
| 公開 | あり | 可能 | 完全制御 | 3暦日（＋フォレンジック確認） |
| 公開 | あり | — | — | 14日 |
| 公開 | なし | 可能 | 完全制御 | 14日 |
| 内部 | — | — | — | 60日 |
| 上記いずれの条件も満たさない最低リスク | 次回の定期システム更改まで延期可 | |||
注目すべきは最低リスク層を「直さなくてよい」と明言した点です。内部資産にあり、KEVにも載らず、自動化もできない脆弱性は、次のシステム更改まで放置してよい。限られた人手を、実際に危険な箇所へ集中させるための割り切りです。
悪用の自動化可能性や技術的影響のデータが得られない場合は60日の期限が適用されます。また曝露状況が不明な資産は「公開されている」とみなすのが原則です。「わからないから対象外」にはできません。
3日ルールとフォレンジック・トリアージ
最高リスク層——公開資産にあり、KEV掲載済みで、悪用が自動化でき、成功すれば完全な制御を奪われる——に該当する脆弱性は、3暦日以内の修正が求められます。営業日ではなく暦日である点に注意が必要です。金曜に公表されれば月曜が期限になります。
さらにこの階層では、パッチを当てるだけでは要件を満たしません。修正と並行して、その資産がすでに侵害されていないかを確認するフォレンジック・トリアージの実施が義務づけられます。
これは、この条件の脆弱性が「攻撃されるかもしれない」ではなく「すでに攻撃された可能性が高い」という前提に立っているためです。KEVに載っている＝現実に悪用が確認されている、自動化可能＝スキャンして片端から攻撃されている、という組み合わせだからです。
期限は動く
BOD 26-04のもう一つの特徴は、タイムラインが固定ではないことです。
- 期限が緩む方向：該当システムをインターネットから切り離せば、適用される期限はより長い区分に移ります。パッチが間に合わない場合、曝露を止めることが有効な緩和策として認められます
- 期限が縮む方向：CISAがある脆弱性をKEVカタログに追加した瞬間、その脆弱性の修正期限は即座に短くなります。昨日まで60日だったものが、今日から14日や3日になりうるということです
この設計は、「パッチを当てる」以外の選択肢を正式に評価対象にした点で実務的です。ネットワーク分離、WAF、アクセス制限といった緩和策が、期限管理の中に組み込まれています。
連邦機関に課された移行スケジュール
| 期限 | 求められる対応 |
|---|---|
| 即時 | 脆弱性管理方針を本指令に沿って更新 |
| 60日以内（2026年8月頃） | 階層モデルに基づく修正プロセスへの更新 |
| 180日以内（2026年12月頃） | 指令が定める修正タイムラインの完全遵守 |
CISA側も60日以内に、資産のタグ付けに関するデータ要件を公開するとされています。
日本企業への影響
BODが法的拘束力を持つのは米連邦民間行政機関のみで、日本企業に直接の義務は生じません。ただし、影響が及ぶ経路が3つあります。
| 経路 | 内容 |
|---|---|
| 米国政府調達のサプライチェーン | 連邦機関に製品・サービスを提供する事業者は、顧客側の期限に合わせた対応を求められる可能性があります。CMMCやDFARS条項の対象企業は特に注意が必要です |
| 事実上の標準化 | 前身のBOD 22-01が生んだKEVカタログは、いまや世界中の企業が優先順位付けに使う指標になりました。4変数モデルも同じ道をたどる可能性があります |
| クラウド事業者経由 | FedRAMP認証を持つクラウドサービスは本指令への対応を進めており、その運用変更は日本のユーザーにも波及します |
中小企業はこの考え方をどう使うか
「連邦政府の話」で終わらせるにはもったいない指令です。人手が足りない組織ほど、この割り切りが要るからです。
毎月大量に公表される脆弱性すべてにパッチを当てる運用は、ひとり情シスの現場では最初から成立しません。結果として「手が回らないから何もしない」に陥りがちです。BOD 26-04が示すのは、全部やらないことを前提に、どこから手をつけるかを決める枠組みです。
| ステップ | やること | 使えるもの |
|---|---|---|
| 1. 外部公開資産を洗い出す | インターネットから見えているIP・ドメイン・サービスを把握する。ここが最重要かつ最も抜けやすい | ASM、外部からのポートスキャン |
| 2. 資産台帳を整える | どのPC・サーバーに何が入っているかを把握。台帳がなければ優先順位もつけられない | IT資産管理、Intune |
| 3. KEVを毎週見る | 自社が使う製品がKEVに載ったら最優先で対応。無料で参照でき、費用ゼロで始められる | CISA KEVカタログ |
| 4. 公開資産のパッチを自動化する | 外部公開資産だけでも自動適用の仕組みに乗せる | Windows Autopatch、Intune |
| 5. 侵害の痕跡を見られるようにする | 3日ルールの本質は「もう入られている前提」。ログとEDRがなければ確認しようがない | Defender for Endpoint |
4変数のうち3つはCISAが提供してくれます。自組織が用意しなければならないのは曝露状況だけです。裏を返せば、外部公開資産の一覧さえ作れば、この優先順位付けは動き始めます。まずそこから着手するのが現実的です。
BTNコンサルティングの支援
BTNコンサルティングは、中小企業の脆弱性管理を「回る仕組み」にする支援を行っています。
- 外部公開資産の可視化：インターネットから見えている資産の洗い出しと、不要な公開の停止
- 資産台帳の整備：Intuneを使ったPC・OS・アプリのインベントリ自動収集
- パッチ運用の自動化：Windows Autopatch／Intuneによる更新プログラムの計画的適用
- 優先順位付けルールの設計：KEVと外部公開の有無を軸にした、自社で運用できる判断基準の策定
- 検知・調査体制の構築：Defender for Endpointによるログ保全と侵害調査の準備
脆弱性管理でつまずく企業の多くは、ツールがないのではなく判断基準がないために止まっています。初回60分の無料相談で、自社に合った優先順位付けの設計をご相談いただけます。
→ 60分無料相談を予約する
まとめ
BOD 26-04は、2026年6月10日にCISAが発行した拘束的運用指令で、連邦機関の脆弱性修正の優先順位付けをCVSSスコア基準からリスクベースへ転換させました。曝露・KEV掲載・悪用の自動化・技術的影響の4変数で、修正期限を3日／14日／60日／次回システム更改に振り分けます。最高リスク層ではパッチ適用に加えてフォレンジック確認まで求められる一方、最低リスク層は明示的に後回しが認められました。
日本企業に直接の義務はありませんが、KEVカタログが世界標準になった経緯を考えれば、この4変数モデルも同じ道をたどる可能性があります。そして何より、「全部にパッチを当てる」を諦めて優先順位で戦うという発想そのものが、人手の限られた中小企業にこそ必要なものです。まずは自社の外部公開資産を把握するところから始めてください。