VEX記述テンプレ
（OEM照会に通る「結論＋根拠」の型）
CVE対応でいちばん揉めるのは「結論」ではなく、“結論の書き方（根拠・条件・対象版数）”が毎回バラバラなことです。
結果として、OEM照会や監査でこうなりがちです。
- 「影響なし」と書いたら、根拠の追加質問が止まらない
- 「調査中」が長引き、SLA（回答期限）を落とす
- 同じ判断を何度もやり直す（証跡が残っていない）
そこで使えるのが VEX（Vulnerability Exploitability eXchange） の考え方です。
VEXはざっくり言うと、「このCVEは自社製品に影響する/しない/調査中」を“理由付きで表明する書き方”です。
ここでは、実務でそのまま貼れる VEX記述テンプレ をまとめます。
先に結論：VEX記述は「5点セット」で通る
not_affected / affected / under_investigation いずれのステータスでも、OEMが知りたいことは同じです。
VEXは、この5点が入っていれば“逃げない文章”になります。
- ステータス： not_affected / affected / under_investigation
- 対象範囲： 製品名・製品版数（暫定/確定も明記）
- 根拠（理由）： 何を確認してそう判断したか（1〜3行）
- 条件： 影響なし等が成立する前提（設定無効、外部IFなし等）
- 次回更新日（SLA）： 調査中や確度が上がるタイミング
【テンプレ】VEX記述（共通ヘッダ）
まずはこの共通部分を、チケット/Excel/回答書の先頭に貼ってください。
共通ヘッダ
【テンプレ】not_affected（影響なし）の書き方
“影響なし”は断言より 根拠＋条件 が重要です。理由をコード化するとブレません。
- NA-1：非搭載（SBOM/部品表に存在しない）
- NA-2：影響範囲外（影響対象版ではない）
- NA-3：成立条件不在（到達性なし・外部IFなし・実行経路なし）
- NA-4：緩和済み（設定/運用で成立しない）
not_affected（影響なし）
【テンプレ】affected（影響あり）の書き方
影響ありは「いま（止血）」と「いつ（直る）」を分けると、追加質問が減ります。
affected（影響あり）
【テンプレ】under_investigation（調査中）の書き方
調査中で最悪なのは沈黙です。受領＋次回更新日 があるだけで運用が回ります。
under_investigation（調査中）
VEX（not_affected / affected / under_investigation）の書き方を、
自社の製品構成・SLA・承認線に合わせて整備したい方はご相談ください。
よくあるNG（VEXが弱くなる書き方）
- 対象版数が無い（どの版の話か不明）
- not_affected を断定して根拠が無い（追加質問が増える）
- under_investigation に次回更新日が無い（放置に見える）
- 条件（前提）が書かれていない（設定変更で覆る）
- 証跡が“どこにあるか”分からない（監査で詰む）
FAQ：VEX記述のやり方について
最低限は「ステータス」「対象製品・対象版数」「決定理由（根拠）」「次回更新日（調査中の場合）」です。影響なしの場合は条件（前提）も書くと強くなります。
「影響なし」を断言するほど、根拠が求められます。非搭載／影響範囲外／到達性なし等の理由を1つに寄せ、SBOMや仕様の参照先（証跡）を残してください。
結論よりも「何が未確定か（確認事項）」と「次回更新日（SLA）」が重要です。沈黙より、更新日を宣言して運用を回す方が信頼が落ちません。
VEX（影響判定）の記述も、AIで自動化しませんか？
Auto PSIRT Cloudなら、AIが自社のSBOM情報とCVEを突き合わせ、「影響あり/なし/調査中」の一次判定と、その根拠文（VEX）を自動生成。そのままOEM回答書に出力できます。