2026 年 10 月 28 日、IPA（情報処理推進機構）は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の要求事項・評価基準 Ver.1.1 と、自己評価等ガイド、第三者評価ガイド、技術検証ガイド、解説書を公表しました。★3・★4 の登録申請は、2027 年 3 月に受付開始の予定です。
本記事では、一次資料に基づいて SCS 評価制度の脆弱性管理要件を整理します。中心となるのは、対象となるアップデートをリリースから 14 日以内に適用する要件と、2026 年 10 月 28 日の改定で示された攻撃観測の有無などに応じた扱いです。後半では、FutureVuls の優先度判定・期限管理・対応履歴の記録機能と、SCS の要件との関係を説明します。
★3・★4 の脆弱性管理の要点は次の 3 つです。
対象読者：取引先から ★3・★4 の取得を求められる可能性のある情報システム・CSIRT 担当者と、SCS への対応に向けて設定を見直す FutureVuls 利用者を想定しています。
制度の状況と数値は 2026 年 10 月 29 日時点のものです。引用には出典を併記しています。
製品の機能と運用については、後半の「FutureVuls で SCS の脆弱性管理を回す」をご覧ください。
この記事では、以下の IPA 文書を主な一次資料として参照します。適合・不適合の判定に使う「適合基準」と「評価方法」は自己評価等ガイドと第三者評価ガイドの別紙にあり、解説書は参考情報という位置づけです（SCS-620 p.3「各評価基準への適合基準や具体的な評価方法については、「★3・★4 自己評価等ガイド」、「★4 第三者評価ガイド」を参照されたい」）。
| 文書 | 内容 |
|---|---|
| SCS-400 要求事項・評価基準 Ver.1.1 | 要求事項と評価基準の本体（Excel） |
| 要求事項・評価基準の変更箇所 | Ver.1.0（2026 年 3 月 27 日）からの変更点 |
| SCS-410 自己評価等ガイド | ★3・★4 の自己評価の手順。別紙に適合基準と自己評価方法 |
| SCS-420 第三者評価ガイド | ★4 の審査の手順。別紙に適合基準と評価手法 |
| SCS-430 技術検証ガイド | ★4 の技術検証（外部からの脆弱性診断）の手順 |
| SCS-620 解説書 | 要求事項・評価基準の解説（参考情報） |
SCS 評価制度は、取引先に求めるセキュリティ対策の水準を★の数で示す制度です。IPA の制度紹介ページは次のように説明しています。
本制度は2026年3月に経済産業省と内閣官房国家サイバー統括室が公表した「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」に基づき構築された制度で、IPAが運営します。
出典: IPA「SCS評価制度の詳細情報」
概要説明資料では、委託元と委託先の間に「共通のものさし」を示すことを目的としています。事業者同士の対策レベルを競わせる格付け制度ではないことも明記されています。
委託元企業が委託先企業に対して求めるセキュリティ対策について、「共通のものさし」を提示するとともに、委託先のセキュリティ対策が確実に履行されているかをセキュリティ専門家や第三者が確認を行う
事業者のセキュリティ対策レベルを競わせることを目的としたもの(格付け制度等)ではない。
出典: IPA「SCS評価制度 概要説明資料（2026年10月）」p.5（2 つ目は同ページの注※1）
IPA の文書で定義されている段階は ★3・★4・★5 の 3 つです（★5 は検討中）。解説書は、IPA が別途運営する SECURITY ACTION の一つ星・二つ星を「本制度の基礎となるセキュリティ対策の実践につながるもの」と位置づけています（SCS-620 p.4）。解説書の表 1 から、★3・★4 の要求事項数、有効期間、評価スキームを抜き出します。
| 項目 | ★3 | ★4 |
|---|---|---|
| 要求事項数 | 26 件 | 43 件 |
| 有効期間 | 1 年 | 3 年 |
| 評価スキーム | 専門家確認付き自己評価 | 第三者評価 |
★3 は、広く認知された脆弱性などを悪用する一般的なサイバー攻撃を想定しています。★4 が想定するのは、供給停止によってサプライチェーンに大きな影響を及ぼす企業への攻撃や、漏えい時の影響が大きい機密情報などの資産への攻撃です。
出典: IPA「SCS-620 ★3・★4 要求事項・評価基準 解説書」p.4 表 1。★4 の第三者評価には、技術検証事業者による技術検証が含まれます（同 p.5）。
上位の段階は下位の要求事項をすべて含むため、「★3 を取得していなくても、★4 の登録申請を行うことができる」とされています（SCS-620 p.4）。本記事で ★3 の要件として紹介する内容は ★4 にも適用されます。
★3：専門家確認付き自己評価
★3 確認責任者は、原則としてアセスメントシート等の記載情報に基づき、要求事項・評価基準への適合状況を確認します。自己評価等ガイドは、この確認について「アセスメントシート等に回答された対策等が実際に講じられているかを確かめることまでを求めるものではなく、原則として、アセスメントシート等に記載された情報のみをもって要求事項・評価基準に対する妥当性を確かめるものである」としています（SCS-410 p.15）。
★4：第三者評価
★4 は「43 件の要求事項に関して自己評価を実施し、評価機関による第三者評価（技術検証事業者による技術検証の実施を含む）を受ける必要がある」とされています（SCS-620 p.5）。
対象は、組織が利用するサーバ、パソコン・スマートフォンなどの端末、ネットワーク機器と、それらの OS・ミドルウェア・アプリケーションです。このうち、次のいずれかに該当するものが対象となります。
IPA の文書では、これらを「IT 基盤」として説明しています。クラウド環境で運用するものも含まれます（SCS-620 p.7–9）。また、「製造環境等の制御（OT）システム、発注元等に提供する製品等については、対策実施の前提や求められる対応が基本的に異なることから直接の対象とはしない」とされています（概要説明資料 p.25）。
| 時期 | 予定 |
|---|---|
| 2026 年 10 月 28 日 | 要求事項・評価基準 Ver.1.1、各ガイド、解説書を公表 |
| 2026 年 11 月末ごろ | 登録申請の手引（SCS-610）を公表予定 |
| 2026 年 12 月下旬 | 評価機関・技術検証事業者・研修事業者の指定・公表 |
| 2027 年 1 月中旬／1 月以降 | 制度システムは 1 月中旬に稼働予定。制度研修は 1 月以降、準備のできた研修事業者から順次提供予定 |
| 2027 年 2 月 | ★4 の第三者評価の開始を想定 |
| 2027 年 3 月 | ★3・★4 の登録申請の受付開始 |
出典: IPA「よくある質問」Q1-1・Q3-1、「第3回運営審議委員会 事務局説明資料（2026年9月11日）」p.4・6・7・28、2026 年 10 月 28 日の公表は「SCS評価制度の詳細情報」の更新履歴
登録料は ★3 が 20,000 円（1 年更新。2028 年 3 月 31 日までは割引で 10,000 円）、★4 が 60,000 円（3 年更新）です（FAQ Q3-2）。これは IPA への登録料で、専門家確認・第三者評価・技術検証などを依頼する費用は含みません。依頼先との契約により別途費用が発生します。
IPA の FAQ では「★の取得は公共事業の入札要件になりますか」という問いに対し、「入札要件になるかどうかは、調達を行う機関の判断によるところです」と答えられています（FAQ Q1-6）。
SCS-400 Ver.1.1 の評価基準のうち、脆弱性管理ツールが直接関わるものを抜き出しました。要約は筆者によるもので、原文は Excel で確認できます。パスワード、ログ、マルウェア対策など、脆弱性管理と直接関係しない基準は本記事では扱いません。
| 評価基準 No. | ★ | 求めていること（要約） |
|---|---|---|
| 3-1-1-1、3-1-1-2 | ★3 | PC・シンクライアント、サーバ・仮想サーバ・ハイパーバイザの製造元・OS・台数を把握する仕組み |
| 3-1-1-5 | ★4 | スマートデバイスの製造元・OS・台数を把握する仕組み |
| 1-2-2-1 | ★4 | サイバー攻撃と脆弱性に関する公開情報又は非公開情報を活用する体制 |
| 3-2-1-1〜3-2-1-5 | ★4 | 脆弱性の管理体制 5 項目（担当の役割、情報源・ツール・頻度、対応要否の判断基準、残存状況の把握、対応履歴の記録と月次点検） |
| 4-4-4-1 | ★3 | ライセンスがありサポートされている OS・ソフトウェアを使う。サポート終了後は削除または遮断し、やむを得ず使う場合はリスクを軽減する対策を実施。可能なら自動アップデートを有効化 |
| 4-4-4-2 | ★3 | CVSS 基本値 7.0 以上などの脆弱性を修正するアップデートを、リリースから 14 日以内に適用 |
| 4-4-4-3 | ★4 | インターネットとの境界のネットワーク機器の OS・ファームウェアに、CVSS 基本値 7.0 以上の脆弱性を残さない |
| 4-4-2-1 | ★4 | サポートのある OS・ソフトウェアを使う。やむを得ずサポート切れのものを使う場合は更改計画を策定し、更改までの間はリスク低減策を実施 |
出典: IPA「SCS-400 ★3・★4 要求事項・評価基準 Ver.1.1」
評価基準 4-4-4-2 は、★3・★4 に適用されるアップデートの要件です。以下に原文を引用します。
・利用している機能又は設定に関して、以下のいずれかに該当するアップデートプログラムがリリースされてから14日以内に、アップデートすること。
- 当該アップデートが、ベンダーにより「重大」(Critical)又は 「高リスク」(High Risk)と説明される脆弱性を修正するものである。
- 当該アップデートが、CVSSの基本値が7.0以上の脆弱性を修正するものである。
- 当該アップデートが修正する脆弱性のレベルの詳細がベンダーから提供されていない。
・やむを得ず上記のとおりアップデートができない場合(例えば、動作検証に一定期間を要し、期限内にアップデートが完了しない場合)は、アップデート適用までの間、脆弱性悪用のリスクを低減する対策を実施すること。
[対象]
- 会社支給のパソコンの OS、ブラウザ及びOffice ソフト
- サーバの OS及びミドルウェア
- 会社支給のスマートデバイスのOS及びアプリ
- インターネットとの境界に設置されているネットワーク機器のOS及びファームウェア
出典: IPA「SCS-400 ★3・★4 要求事項・評価基準 Ver.1.1」評価基準 No.4-4-4-2
評価基準の要点を、期限の起点・適用条件・対象範囲・期限内に適用できない場合の対応に分けて整理します。
自己評価等ガイドの別紙は、4-4-4-2 の適合基準を次の 4 点で定めています。★4 の第三者評価ガイドも同じ文面です。
① 対象機器・ソフトウェア及び利用している機能又は設定を把握していること。
② ①に関する脆弱性情報をベンダーや IPA、JPCERT/CC などの公的機関から収集し、把握していること。
③ ベンダーが「重大（Critical）」又は「高リスク（High Risk）」と説明する脆弱性、CVSS の基本値が 7.0 以上の脆弱性、又はベンダーが詳細を提供していない脆弱性を修正するアップデートプログラムを、リリースから 14 日以内に適用していること。
④ やむを得ず 14 日以内にアップデートできない場合は、アップデート適用に係る対応計画を策定し、適用までの間、脆弱性悪用のリスクを低減する以下の対策のいずれかを実施していること。
＜既に攻撃を観測している脆弱性の場合＞
- 脆弱性悪用の対象となる機能を無効化すること。
- ベンダーが推奨する回避策を実施すること。
- 対象となる情報機器を適用範囲内のネットワークから分離すること。
- 対象となる情報機器と適用範囲内のネットワークとの通信を監視し、当該脆弱性を悪用する不正な通信を遮断する機器又はソフトウェアを導入している場合、監視や設定を一時的に強化すること。
＜攻撃を観測していない脆弱性の場合＞
- アップデート適用に係る対応計画を、完了するまで管理、記録すること。
出典: IPA「SCS-410 ★3・★4 自己評価等ガイド」p.91
自己評価では、③について「アップデートに係る適用記録、変更管理記録、更新ログ等を確認し、該当するアップデートプログラムをリリースから 14 日以内に適用していることを確認する」とされています（SCS-410 p.92）。
第三者評価ガイドは、4-4-4-2 の評価手法を次のように定めています。
▶質問 ① 対象機器・ソフトウェアの把握方法、脆弱性情報の把握方法、アップデート適用の判断方法について質問する。② 14 日以内に適用できない場合があるか否か、また適用できない場合がある際の対応方法について質問する。
▶閲覧 ① 脆弱性を 1 件抽出して該当するアップデートプログラムがリリースから 14 日以内に適用されていることを確認する。② 14 日以内にアップデートができていない場合、その中から脆弱性を 1 件抽出して対応計画及び適合基準④に記載した暫定対策の実施記録等を確認し、代替措置が講じられていることを確認する。
▶観察 原則として実施しない。
出典: IPA「SCS-420 ★4 第三者評価ガイド」p.107
同じガイドは、第三者評価を「一部の機器、端末、規程、手順等に対して実施するもの」とし、実地審査を必須とする要求事項は「制度運営機関が別途公表する」としています（SCS-420 p.4、p.9）。
審査では、抽出した脆弱性について、リリース日と適用日、期限内に適用できなかった場合の対応計画と暫定対策の実施記録等を確認します（SCS-420 p.107）。
14 日ルールと並んで脆弱性管理ツールに関わるのが、サポート切れの扱いです。★3 の 4-4-4-1 と、★4 で加わる 4-4-2-1 の原文は次のとおりです。
・情報機器、OS及びソフトウェアについて、以下の状態とすること。
- ライセンスが付与され、サポートされている。
- サポートが終了した場合に削除されるか、又はインターネットとの全てのトラフィックを遮断することで適用範囲から削除される。
- やむを得ず、サポートが終了したものを利用する場合、脆弱性悪用のリスクを軽減する対策を実施している。
- 可能であれば、自動アップデートが有効化されている。
出典: IPA「SCS-400 ★3・★4 要求事項・評価基準 Ver.1.1」評価基準 No.4-4-4-1（★3）
・利用するOS及びソフトウェアについて、サポートのあるものを利用すること。
・やむを得ずサポート切れのOS及びソフトウェアをそのまま利用する場合(例えば、代替システムを調達する必要があり、直ちに更改できない場合)は更改計画を策定した上で、更改するまでの間、脆弱性悪用のリスクを低減する対策を実施すること。
出典: IPA「SCS-400 ★3・★4 要求事項・評価基準 Ver.1.1」評価基準 No.4-4-2-1（★4）
4-4-2-1 の適合基準と、★4 の審査での評価手法は次のとおりです。
① 全ての OS 及びソフトウェアについて、サポートの有無を把握していること。
② 全ての OS 及びソフトウェアについてサポートがあるものを利用していること。
③ やむを得ずサポート切れのものを利用する場合は更改計画を策定し、更改までの間、No.4-4-4-2 の適合基準で求める脆弱性悪用リスクの低減策を実施していること。
▶質問 ① OS 及びソフトウェアのライセンス・サポートの有効化有無、また、有効でない場合の対応方法について質問する。② 自動アップデートの有効化有無を質問する。
▶観察 ① OS 及びソフトウェアのうち 1 件を抽出し、バージョン情報等がわかる画面を観察し、サポートされていることを確認する。② サポートされていない場合、脆弱性悪用のリスクを低減する対策が実施されていることを確認する。
出典: IPA「SCS-420 ★4 第三者評価ガイド」p.101。閲覧は「原則として実施しない」とされています。
解説書は「サポート切れ」の意味と判断の仕方を次のように説明しています（SCS-620 p.89）。
サポート状況の把握と評価に関する確認事項を整理します。
2026 年 10 月 28 日の改定では、4-4-4-2 との整合を図るため、4-4-2-1（★4）と 4-4-4-1（★3）も修正されています。4-4-4-1 には、やむを得ずサポート終了品を利用する場合に、脆弱性悪用のリスクを低減する対策を実施することが加わりました（変更箇所の資料 p.2–3）。
Ver.1.0（2026 年 3 月 27 日公開）の 4-4-4-2 には、間に合わない場合の対策が 4 つ具体的に列挙されていました。Ver.1.1 ではこれを評価基準の本文から外し、ガイドと解説書に移しています。IPA は変更の理由を「情報セキュリティに係る国内外の情勢変化に応じて機動的な見直しを実施することを可能にする」ためとし、考え方を 2 点にまとめています。
リスクベースの考え方を踏まえた対象選定 ： CVSS基本値7.0以上であり、攻撃が観測されている脆弱性については引き続き 14日以内の対応を継続。（IPA「重要なセキュリティ情報」又はCISA「KEV」等、公的機関等のリストに掲載されている脆弱性）
対応計画及び代替策に基づくリスク低減及び対応管理の実施 ： CVSS基本値7.0以上の脆弱性について、情報公開時点で攻撃が観測されていない又はその蓋然性が低いと考えられるものと、攻撃が観測されているものを区別し、それぞれ対応計画の策定及びそれに基づく管理や、代替策による脆弱性悪用のリスク低減策を行うことを前提に、脆弱性対応期限の延長に関する運用を認める旨を記載。
出典: IPA「要求事項・評価基準の変更箇所」p.2
解説書は、急いで対応すべき脆弱性を見分ける情報源として次の 4 つを例示しています。
これらの情報源に掲載された脆弱性の扱いについて、解説書は次のように定めています。
なお、CVSS の基本値が 7.0 以上でありかつ、情報公開時点で攻撃が観測されている又はその蓋然性が高いと考えられるために上記情報源に掲載された脆弱性については、対象機器のインターネットへの露出状況などに関わらず、14 日以内にアップデートプログラムを適用しなければならない。この場合、14 日に拘らず、さらに短い期間で対応することを検討することが推奨される。
出典: IPA「SCS-620 解説書」p.93
解説書（参考情報）は、優先度判定の結果として対応期限を 15 日以上に設定する脆弱性について、列挙されたリスク低減策のほか、対応計画を策定し、その計画に沿ってアップデートを行う措置も許容され得ると説明しています。適合基準④の前提は「やむを得ず 14 日以内にアップデートできない場合」です。解説書は、計画の策定・記録について次の点も挙げています。
対応計画を作成するに当たっては、攻撃の段階や対象機器のインターネットへの露出状況などの情報を踏まえて対応期限を決定し、かつ、脆弱性情報公開時点においてリスクを受容し、すぐに対応しないと判断したものも含めて漏れなく対応履歴を記録・追跡することが重要であり
この場合であっても、後日、攻撃が観測されることがあるため、その際に対応計画を見直すことができるよう備えることが重要である。
また、優先度判定の結果として、対応期限を 15 日又はそれよりも長い期間で設定する場合、必然的に当該脆弱性を悪用したインシデント発生のリスクも高まることから、要求事項 No.6-1-1 等で定めるインシデント対応体制の更なる強化（例：指示・連絡系統を強化する、モニタリング頻度を上げる等）を併せて進めることが望ましい。
出典: IPA「SCS-620 解説書」p.94（引用の順序は原文と異なります）
解説書には次のような対応計画の記録例が示されています（SCS-620 p.94。原文にある「…」の列を省き、括弧内は筆者の補足です）。
| 識別子 | 対象機器・ソフトウェア | CVSS 基本値 | 対応期限・時期 | 対応履歴 |
|---|---|---|---|---|
| CVE-XXXX-XXXX | （機器名） | 9.0 | 2026/XX/XX | 2026/XX/XX 実施 |
| CVE-XXXX-XXXX | （ソフトウェア名） | 7.5 | 次期更改時 | （空欄） |
期限の扱いと改定の趣旨について、次の補足があります。
解説書では、対応要否の判断基準（評価基準 3-2-1-3）として次の観点を挙げています。
対象となる情報資産の以下のような特性を考慮して判断することが考えられる。
- インターネット接続の有無
- 重要情報の取扱いの有無
- システム停止の許容範囲
出典: IPA「SCS-620 解説書」p.58
4-4-4-2 についても「CVSS の基本値等だけでなく脆弱性悪用状況等の情報も加味することで、本基準の対象となる脆弱性のうちより緊急度が高いものを特定し、優先的に期限内の対応を行う運用が、より効率的かつ効果的なアプローチとして許容され得るものと考えられる」としています（p.93）。
SSVC（Stakeholder-Specific Vulnerability Categorization）は、脆弱性対応の優先順位を判断する手法です。カーネギーメロン大学のCERT/CCが開発・公開しました（SEI 公式記事）。
本節と「まとめ」に記載する FutureVuls の仕様・対応範囲は、特記のない限り 2026 年 10 月 30 日時点のものです。最新の仕様・対応範囲については、お問い合わせ窓口へご相談ください。
SCS の評価基準と FutureVuls の関連機能を以下に整理します。FutureVuls は Linux、Windows、コンテナ、CPE（製品名とバージョンを表す識別子）で登録した製品などを対象に、構成情報の収集や脆弱性の管理を行います。
★3・★4 の取得には、規程や体制の整備、点検の実施・記録など、各段階の要求事項・評価基準への適合が必要です。
ここで紹介する SSVC は CSIRT・PSIRT の利用環境が対象で、PSIRT では有効化の操作が必要です。
トリガー&アクション（優先度に応じて期限などを自動設定する機能）、決定木のカスタマイズ、スペシャル警戒タグは CSIRT の機能で、サプライチェーンリスクも CSIRT 限定です（2026 年 10 月 29 日時点。CSIRT の機能、SSVC、サプライチェーンリスク）。
| 評価基準 | SCS の要求の要点 | FutureVuls の関連機能 |
|---|---|---|
| 3-1-1-1 3-1-1-2 |
PC・サーバ等の製造元・OS・台数の把握 | 対応する OS・ソフトウェアの構成情報を収集 |
| 3-1-1-5 | スマートデバイスの製造元・OS・台数の把握 | スマートデバイスは対象外。MDM（モバイル端末管理）など、別の手段で把握 |
| 1-2-2-1 3-2-1-2 |
情報の活用体制と、情報源・ツール・頻度の定義 | KEV・警戒情報の取り込み |
| 3-2-1-3 | 対応要否の判断基準・対応手順の定義 | SSVC の設定・決定木のカスタマイズ |
| 3-2-1-4 3-2-1-5 |
残存状況の把握、対応履歴の記録と月次点検 | タスク管理、点検の材料となる Daily/Weekly Report |
| 4-4-4-2 | 対象アップデートの 14 日以内の適用、やむを得ない場合の計画と対策 | タスクの対応期限の設定・管理 |
| 4-4-4-3 | 境界機器の OS・ファームウェアに CVSS 基本値 7.0 以上の脆弱性がないこと | CPE 登録製品の脆弱性情報を照合。指定事業者による技術検証は別途実施 |
| 4-4-4-1 4-4-2-1 |
サポートのある機器・ソフトウェア等の利用、サポート切れへの対策 | EOL の検知・チケット管理・月次通知 |
SCS の記載は SCS-400 の各評価基準、計画と対策は SCS-410 p.91 に基づきます。
出典: FutureVuls マニュアル「対応環境」「警戒情報・注意喚起情報」「SSVC」「タスク」「通知機能」「CPEスキャン」「サプライチェーンリスク」
FutureVuls は SSVC v2.1 に対応し、次の 4 項目から優先度を判定します。
| SSVC の判断項目 | 判定・設定方法 | 内容 |
|---|---|---|
| Exploitation | 自動 | 悪用状況や攻撃コード、警戒情報から判定 |
| Exposure | 手動／自動調査 | インターネットへの露出レベルを設定。Amazon EC2 では、Amazon Inspector による露出状況の自動調査も利用可能 |
| Human Impact | 手動 | 攻撃された際の業務影響を設定 |
| Automatable | 自動 | 脆弱性情報から攻撃の自動化可否を判定 |
Exposure と Human Impact はグループ単位で設定します。同じグループ内で値を変える場合は、サーバに割り当てたロールの設定で上書きできます。Amazon EC2 の露出状況は Amazon Inspector で自動調査し、その結果を Exposure の設定に利用できます。
FutureVuls の管理単位は次のとおりです。
優先度を算出する決定木（判定の流れ図）もカスタマイズできます。
Exploitation の active（悪用が確認された状態）は、CISA KEV・VulnCheck KEV・ENISA KEV への掲載、MSRC の悪用確認情報、CISA Vulnrichment の active 判定に基づきます。JPCERT/CC・CISA の注意喚起などは、poc（攻撃コードや注意喚起がある状態）の判定に用います。詳細な条件・例外はSSVC の説明を参照してください。
FutureVuls は 3 つの KEV 情報を 15 分ごとに確認します。新たに掲載された脆弱性は、対象サーバの前回のスキャン結果と再照合され、目安として 1 時間以内にタスクなどへ反映されます。対象サーバが多い場合は、時間帯によって翌朝までかかることがあります（2026 年 10 月 27 日のリリースノート）。
判定への反映時期は、情報の種類によって異なります。
スキャナ・ペースト・SBOM で登録したサーバの自動再照合は、CSIRT・PSIRT の利用環境が対象です（スキャンについて）。
出典: FutureVuls マニュアル「FutureVulsでのSSVCの実装」「警戒情報・注意喚起情報」、FutureVuls Blog「インターネット露出サーバの自動特定とSSVC Exposure設定ガイド」
解説書が例示する 4 つの情報源には、IPA「重要なセキュリティ情報」と JPCERT/CC「注意喚起」が含まれています。FutureVuls では、これらの公開情報と CISA KEV を調査し、国内での悪用確認の公表日と KEV への掲載時期を確認しました。調査対象のうち、2026 年に国内の公的機関が悪用確認を公表した 3 件を以下に示します。いずれも CVSS 基本値 7.0 以上で、開発元から修正版または修正パッチが提供されています。比較対象は公的リストへの掲載時期です。
| 製品の種別・CVE 番号 | 国内での公表 | CISA KEV への追加 |
|---|---|---|
| 国産のメールセキュリティ製品 CVE-2026-32661 |
2026 年 5 月 13 日（IPA「緊急」、JPCERT/CC 注意喚起） | 2026 年 10 月 29 日時点で掲載なし |
| 国産のファイル転送製品 CVE-2026-25108 |
2026 年 2 月 13 日（IPA、JPCERT/CC 注意喚起）。修正版は 2026 年 1 月 13 日公開 | 2026 年 2 月 24 日（国内公表の 11 日後） |
| 国産の Web サーバ向けセキュリティ製品 CVE-2026-106931 |
2026 年 10 月 14 日（JPCERT/CC 注意喚起） | 2026 年 10 月 20 日（国内公表の 6 日後） |
出典: JPCERT/CC 注意喚起 JPCERT-AT-2026-0013、JPCERT-AT-2026-0004、JPCERT-AT-2026-0032、IPA「重要なセキュリティ情報」、CISA KEV Catalog（2026 年 10 月 29 日に取得した 2026 年 10 月 28 日版のカタログで確認）。CVSS 基本値は NVD に登録された値（JPCERT/CC 採点を含む）。2026 年 10 月 29 日確認。
悪用の確認について、JPCERT/CC の注意喚起は次のように記載しています。
IPA は「緊急」「注意」を次のように定義しています。
区分は記事単位で付与されます。複数の CVE を扱う記事では、悪用が確認された CVE を本文で確認する必要があります。
ファイル転送製品の例では、修正版のリリース日が 2026 年 1 月 13 日、注意喚起の公表日が 2026 年 2 月 13 日で、両日には 31 日の差があります。リリースから 14 日後の 2026 年 1 月 27 日は、注意喚起の公表より前です。改定の節で紹介した、情報源への掲載がリリースから 14 日より後になるケースです（SCS-620 p.93–94）。
IPA の当該記事の区分は「注意」ですが、本文には悪用した攻撃が既に確認されていることが明記されています。緊急度の区分とは別に、個々の脆弱性の悪用状況を確認する必要があります。
JPCERT/CC の注意喚起だけでは、Exploitation は active になりません。active の条件を満たさない場合、取り込まれた注意喚起は poc の判定に用いられます。判定の例外は前述の SSVC の説明を参照してください。
IPA「重要なセキュリティ情報」は取り込み対象外です。また、JPCERT/CC の注意喚起も全てを CVE に関連付けられるわけではありません。
上記のメールセキュリティ製品の事例は、2026 年 10 月 29 日時点で active に該当しません。ほかの 2 件も KEV 掲載前は同様でした。したがって、SSVC で active に該当しないことを、SCS の「攻撃が観測されていない」という判断に置き換えることはできません。
SCS の対象判定には公表本文の確認が必要です。対象となる CVE の期限は手動で設定できます。指定した CVE の期限を全グループに一括設定する「スペシャル警戒タグ」も利用できます。いずれもリリース日から算出した期限を指定できます。
出典: FutureVuls マニュアル「SSVC」「警戒情報・注意喚起情報」「タスク詳細」
評価基準 4-4-4-2 の対象 4 区分に対する、FutureVuls の管理方法は次のとおりです。
| SCS の対象 | FutureVuls での管理方法 |
|---|---|
| 会社支給 PC の OS・ブラウザ・Office | Windows スキャンで OS・ソフトウェア情報を収集。ブラウザ・Office 等は対応製品の CPE 割り当てによる照合も利用 |
| サーバの OS・ミドルウェア | 対応環境に応じた各種スキャン。OS のパッケージ管理外の製品は CPE で登録 |
| 会社支給スマートデバイスの OS・アプリ | FutureVuls の対象外。MDM など別の手段で管理 |
| 境界機器の OS・ファームウェア | 製品・バージョンを CPE で登録して照合。★4 の技術検証は別途実施 |
CPE による検知は、登録した製品・バージョンと脆弱性データベースの収録内容に依存します。
出典: FutureVuls マニュアル「対応環境」「Windowsのローカルスキャン」「CPEスキャン」
SCS の期限はアップデートのリリース日が起点です。FutureVuls では、その日付から算出した期限を手動設定またはスペシャル警戒タグで指定できます。
SSVC による自動設定との違い
トリガー&アクションを使うと、SSVC の優先度に応じて期限を自動設定できます。設定はオーガニゼーション全体に適用し、グループごとに変更できます。
| 優先度 | 期限の設定方法 |
|---|---|
| Immediate（即時対応） Out-of-Cycle（定期メンテナンスを待たずに対応） |
SSVC の優先度を算出した時点からの日数を指定 |
| Scheduled（定期メンテナンスで対応） Defer（保留） |
定期メンテナンスの周期を cron 式で指定 |
cron 式は、繰り返しの日時を指定する書式です。Immediate・Out-of-Cycle の起点は優先度の算出時点であり、リリース日ではありません。
例えば、修正版が 2026 年 10 月 1 日に公開され、10 月 10 日の初回検知時に優先度を算出したとします。期限は次のように異なります（日付は説明用）。
| 算出方法 | 期限 |
|---|---|
| リリースから 14 日後 | 2026 年 10 月 15 日 |
| SSVC の優先度算出から 14 日後 | 2026 年 10 月 24 日 |
| SSVC の優先度算出から 7 日後 | 2026 年 10 月 17 日 |
日数を 7 日に短縮しても、この例では SCS の期限を超えます。リリースから検知までの経過日数も確認する必要があります。
期限の優先順位と更新
表示される期限の優先順位は「スペシャル警戒タグ > 手動設定 > SSVC」です。手動設定とスペシャル警戒タグの期限は SSVC に上書きされません。
SSVC の期限設定は、新規検知・再検知・優先度の変化に伴って行われます。既存タスクでは次のいずれかに該当すると更新されます。
期限超過後は後の日付に更新される場合があります。SCS のリリース日から数えた期限は、SSVC が更新する期限と区別して記録する必要があります。
出典: IPA「SCS-400 ★3・★4 要求事項・評価基準 Ver.1.1」4-4-4-2、FutureVuls マニュアル「SSVC」「タスク詳細」
タスクでは、初回検知日時・ステータス・対応期限・コメント・更新履歴を確認できます。グループ内のタスクは CSV レポートとして出力できます。
対応状況をステータスで管理する
調査中・対応中・保留に加え、次の状態を設定できます。対応計画や実施内容はコメントに記録できます。
| ステータス | 記録する状態 |
|---|---|
| WORKAROUND | 暫定的な緩和策を実施 |
| ALT_RESOLVED | 恒久的な代替策を実施 |
| NOT_AFFECTED | 対象環境への影響なし |
| RISK_ACCEPTED | 残存リスクを受容 |
再スキャンで脆弱性が検知されなくなると、PATCH_APPLIED に自動で変わります。パッチ適用だけでなく、ソフトウェアの削除や脆弱性情報の修正によって検知されなくなる場合もあります。
リリース日・適用日と検知日時を区別する
PATCH_APPLIED への変更日時は、再スキャンで検知されなくなった日時です。実際の適用日時を示すものではありません。SCS-410 p.92 は、適用記録・変更管理記録・更新ログ等による確認を求めています。
リリース日と適用日はタスクの日時からは確認できません。作業記録へのリンクや対応計画は、タスクのコメントに残せます。
やむを得ず 14 日以内に適用できない場合は、対応計画と、攻撃観測の有無に応じた対策が求められます（SCS-410 p.91、適合基準④）。リスクを受容して直ちに対応しない場合も、履歴の記録・追跡が必要です（SCS-620 p.94）。
通知を月次点検の材料にする
評価基準 3-2-1-5 は月次の対応漏れ点検を求めています。★4 の評価では、点検の頻度と直近の実施日を質問し、1 か月以内の実施を確認します（SCS-420 p.57）。
Daily/Weekly Report は、対応期限や対応予定日を超過したタスクを通知します。ただし、通知の受信だけでは点検を実施した記録にはなりません。
点検では、期限未設定・保留・リスク受容・暫定対策中のタスクも確認対象となります。期限未設定のタスクは期限超過の通知に含まれないため、通知だけでは残存状況の全体を把握できません。確認結果と点検日・担当者は、タスクのコメントなどに記録できます。
対応計画に予定日を設定すれば、予定日超過の通知で計画の遅れも確認できます。
出典: FutureVuls マニュアル「タスク」「タスク詳細」「通知機能」
CPE スキャンは、登録した製品・バージョンを脆弱性データベースと照合する機能です。ミドルウェアやネットワーク機器のファームウェアなど、OS のパッケージ管理外にある製品を日々の点検対象にできます。
照合には NVD と VulnCheck 社の脆弱性データベース「VulnCheck NVD++」の CPE 情報を用います。結果は登録内容とデータベースの収録状況に依存するため、検知ゼロだけでは脆弱性がないことを示せません。
★4 の技術検証は指定事業者が実施する
技術検証では、外部から直接アクセスできる VPN 装置・ルータ・ファイアウォールなどから原則 5 台を選び、疑似的な攻撃の通信を行います。指定を受けた技術検証事業者が実施するもので、FutureVuls の CPE スキャンは代替になりません（SCS-430 p.7・9）。
CVSS 基本値 7.0 以上の脆弱性が検出された場合は、以下の是正対応が定められています。
出典: IPA「SCS-430 ★4 技術検証ガイド」第 1 部 4.1・4.2、第 2 部 4（p.24）、FutureVuls マニュアル「CPEスキャン」
サプライチェーンリスク機能は、Linux/Windows OS、コンテナ、OSS ライブラリ、サードパーティ製ソフトウェアなどの EOL（サポート終了）を検知します。検知したリスクはチケットで管理でき、グループ別・ソフトウェア別の集計が月次でメール通知されます。
検知範囲と追加登録
照合には endoflife.date や OS ベンダーの公式情報などを用います。検知範囲はソフトウェアの識別情報と EOL データの収録状況によって決まります。
未収録の商用製品や自社製品は、API から非公開 EOL 情報を登録できます。ソフトウェアに CPE または PURL（パッケージの識別子）を割り当てると検知対象になります。
確定したサポート終了と保守状況を分けて確認する
チケットとして管理するのは、確定した EOL と EOL 予定です。公式宣言のない「実質 EOL」は、ソフトウェアの保守状況を示す「ソフトウェアヘルス」で可視化されます。実質的に保守が続いているかは組織が判断します。
評価基準 4-4-2-1 の適合基準①は、全ての OS・ソフトウェアのサポート有無の把握を求めています。FutureVuls の検知結果に加え、未収録の製品も含めた把握が必要です。★4 の審査では、抽出した OS・ソフトウェアのサポート状況を確認します（SCS-420 p.101）。
出典: FutureVuls マニュアル「サプライチェーンリスク」
SCS 評価制度の評価基準 4-4-4-2 は、対象となるアップデートをリリースから 14 日以内に適用することを求めています。攻撃観測などを理由に情報源へ掲載された脆弱性の扱いは SCS-620 p.93–94、期限内に適用できない場合の計画と対策は SCS-410 p.91 で確認できます。
FutureVuls には、優先度判定・期限設定・対応履歴の記録機能があります。SCS の運用と組み合わせる際の確認事項は次の 3 点です。
★4 の審査では、脆弱性を抽出して期限内の適用状況を確認します。期限内に適用できない場合は対応計画と暫定対策の実施記録等が確認対象になります（SCS-420 p.107）。
SCS 対応に向けた FutureVuls の設定や運用の組み立てについては、お問い合わせからいつでもご相談ください。製品資料は資料請求から、記事の更新情報はメールマガジンでお届けします。
一次資料（IPA）
脆弱性情報
FutureVuls マニュアル
関連記事