脆弱性ノイズを減らす「まず見るべき3つだけ」
（CVEトリアージを最短で回す）
脆弱性情報の運用がしんどい理由は、脆弱性の数が多いからではありません。
「ノイズ（＝自社に関係ない/今すぐ対応不要な通知）」が混ざったまま、全部を同じ温度で処理しようとするからです。
- 1日数十〜数百件のCVE通知が来る
- “高CVSS”の言葉だけで社内がざわつく
- 結局、OEM照会（期限あり）の対応が遅れる
- 「影響なし」の根拠が残らず追加質問が止まらない
この状況を変えるコツはシンプルで、最初に見る項目を3つに固定することです。
本文では「まず見るべき3つだけ」で一次トリアージし、VEX（影響あり/なし/調査中）に落とし込む手順を整理します。
先に結論：ノイズを減らす“3点チェック”
脆弱性通知（CVE、スキャナ結果、取引先通知）が来たら、この順で3つだけ見ます。
- 搭載してる？ （SBOM/部品表で一致する？）
- 届く？ （到達性：攻撃経路がある？）
- どの版？いつまで？ （対象版数と期限/SLA）
この3点が揃うと、判断はほぼ自動で決まります。
- ①がNo → “非搭載”でクローズ（ノイズ）
- ①がYes、②がNo → “到達性なし”でクローズ（ノイズ）
- ①がYes、②がYes → 対応候補（残す）
- ①②が未確定 → 調査中（期限と次回更新日を付ける）
CVSSスコアは、この3点の後に見れば十分です（点数先読みはノイズを増やしがち）。
なぜこの3点でノイズが減るのか
①「搭載してる？」が最強フィルター
CVEは“世の中のソフト全体”の話です。自社に入っていないなら終わりです。
スキャナやCPE一致だけで「該当」と決めると誤判定が増えるため、最初に SBOM/部品表（Excelでも可）で確認します。
②「届く？」が“自動車あるある”のフィルター
自動車部品は、一般ITと違って閉域・限定IFが多いです。
同じCVEでも 外部から届かないなら、現実的なリスクは大きく下がります。
ここで必要なのは難しい解析ではなく、「外部IFある？その機能使ってる？」という現場確認です。
③「どの版？いつまで？」が“運用の勝ち筋”
OEM照会は「影響あり/なし」より 対象版数と期限 が核心です。
対象版数が切れないと、毎回追加質問が来てSLAが崩れます。
逆に、調査中でも「次回更新日」を返せれば信頼は落ちにくいです。
手順：3点チェックを“チケット1枚”に落とす（そのまま運用できる型）
ここからが“やり方”です。通知を受けたら、まずこのテンプレでメモしてください。
（ツールはExcel/スプレッドシートでも、チケットでもOK）
この1枚が残るだけで「ノイズ処理」が再現性のある作業になります。
3点チェックを“判断”に変える（ミニ判定表）
| ①搭載 | ②到達性 | ③対象版数/期限 | 一次結論（VEX） | 次のアクション |
|---|---|---|---|---|
| No | ー | ー | 影響なし | クローズ（証跡だけ残す） |
| Yes | No | ー | 影響なし（条件付き） | 条件（外部IFなし等）を明記してクローズ |
| Yes | Yes | 確定 | 影響あり | 修正/緩和策の計画＋提出準備 |
| 不明 | 不明 | 期限あり | 調査中 | 受領＋次回更新日を返す（SLA維持） |
※「条件付き影響なし」は、後から設定変更や仕様変更があると再評価になるので、前提条件を1行で書くのがコツです。
よくある“ノイズ増殖”の原因（これだけ避ければ激減します）
- CVSS点数だけで優先度を決める（①②を見ていない）
- 対象版数が書けない（③が無い＝OEM照会で詰む）
- “影響なし”の根拠が残っていない（次回も同じ議論になる）
- 調査中の一次回答ができない（黙って期限超過）
（テンプレ）判断を資産化する：トリアージ決定シート
ノイズを減らす最後の一手は「同じ判断を二度しない」ことです。
3点チェックの結果を、決定シートに残して再利用します。
脆弱性トリアージ対象を“本当に”自動的に、無理なく減らしたい方は一度ご相談ください。
【無料】オンライン相談を予約するFAQ：トリアージのやり方について
自社に搭載していない、到達性がない、期限や対象版数が切れないなど、そのまま優先度判断に使えない通知が混ざっている状態を指します。まずは「搭載」「到達性」「対象版数と期限」で一次整理するとノイズが減ります。
おすすめしません。CVSSは参考になりますが、搭載していない・到達性がないなら高得点でも実務上は優先度が下がることがあります。まず3点チェックを先に行い、その後にCVSS条件（AV/PR/UI等）を読む方が事故が減ります。
最初はExcelの簡易部品表でも構いません。重要なのは「製品版数×コンポーネント版数」が追えることです。まず対象製品を絞って作り始めると現実的です。
大丈夫です。むしろ期限（SLA）を守るために重要です。受領＋次回更新日をセットにして返すと、相手の不安を減らせます。
脆弱性に対して「影響あり/影響なし/調査中」など、自社の状況（搭載・到達性・対象版数）に基づく結論を表現する考え方です。ノイズを減らすために非常に相性が良いです。
「3点チェック」をシステムで全自動化しませんか？
Auto PSIRT Cloudなら、毎日のCVE情報と自社のSBOMを自動で突合し、この「3点チェック」に基づくトリアージ（影響あり/なし/調査中）をAIが自動で行います。