用語比較
KEVとEPSSの違い
一言でいうと
KEVはCISAが実環境での悪用の証拠を確認した脆弱性のカタログ、EPSSは今後30日間に悪用が観測される確率の予測。過去の確認と将来の予測を競わせず、自社に対象があるか、到達できるか、業務影響は何かを照合する。低いEPSSやKEV未掲載を安全の証明にしない。
KEVの悪用確認と、EPSSの今後30日間の予測は何が違う？確率とパーセンタイル、自社の被害確率との違い、低スコア・未掲載時の判断を比較します。2026年のCISA指令の対象範囲と期限の確認方法、資産・到達性・業務影響をそろえる手順から、無料の初動判断ガイドへ進めます。
- 難易度
- 中級
- 想定読者
- 情シス・CSIRT・SOC・脆弱性管理担当
- 所要時間
- 約12分
- 最終確認
- 2026-10-30
- 1. 事実と予測を分ける
KEV・公式の悪用情報と、EPSSの確率・順位・対象日を別々に確認する。
- 2. 自社の3条件を照合
対象の存在、到達性と既存の保護、業務・データへの影響を確認する。
- 3. 期限と残件を決める
適用要件と承認された対処を記録し、更新・調査・未確認事項を追跡する。
KEVとは
Known Exploited Vulnerabilities Catalog。CVE ID、実環境での悪用の確かな証拠、明確な対処の3基準を満たすものをCISAが掲載する。自社の侵害一覧でも、すべての悪用を網羅する一覧でもない。
EPSSとは
Exploit Prediction Scoring System。FIRSTが公開する、今後30日間に実環境の悪用が観測される確率の推定。0〜1の確率と相対的な順位を日々公開する。自社の資産、対策、被害額を直接評価するものではない。
違いの比較表
| 比較軸 | KEV | EPSS |
|---|---|---|
| 答える問い | 実環境の悪用を裏付ける証拠が確認されたか | 今後30日間に悪用が観測される可能性はどの程度か |
| 表し方 | 掲載、追加日、対処、期限、関連案内等 | 0〜1の確率、パーセンタイル、対象日等 |
| 時間 | 掲載は悪用開始日や現在の全攻撃件数を示さない | 毎日更新する予測。直近の全攻撃を示す実況ではない |
| 自社条件 | 対象版・導入形態・到達性・業務影響を確認 | 自社の資産・防御条件を自動的に織り込む値ではない |
| 低い値 | 未掲載でも、悪用がないと判断しない | 低スコアでも悪用の直接証拠を打ち消さない |
| 期限 | FCEB向けの現行指令・掲載欄・資産条件を照合 | 点数や順位から全組織共通の修正期限は決まらない |
| 判断記録 | 公式の確認日、対処、適用要件と自社の残件 | 確率と順位を別欄にし、日付・欠損・再確認条件を残す |
指標を読んだら、期限と初動の判断へ
公式の掲載欄・対象範囲と自社条件を照合し、初動チェックリストへ進む。判断表で不足した条件を、次の記録へ引き継げます。
無料のKEV期限・初動判断ガイドを開く使い分け
- 自社に対象版があり、KEV掲載や信頼できる悪用情報があるなら、EPSSが低くても対応を下げる理由にしない。公開範囲・業務影響とベンダーの対処を確認し、必要な保護と調査を進める。
- 直接の悪用情報がない多数のCVEでは、EPSSを調査の順番を絞る材料にする。高い値だけで対象資産のない製品へ作業せず、対象の存在・到達性・影響を照合する。
- 脆弱性管理のサービスを比較する際は、KEV・EPSSを表示できるかだけでなく、取得日、資産との照合、欠損の表示、担当への引き継ぎと完了確認までを同じ条件で確認する。
EPSSの確率とパーセンタイルの違い
EPSS確率0.05は5%の推定を意味する。パーセンタイル0.95は、評価されたCVEの分布内でおおむね95パーセンタイルの位置にあるという相対順位であり、悪用確率95%ではない。確率と順位は別の列にし、両者を同じパーセントとして転記しない。
予測の対象は、CVEについて今後30日間に実環境の悪用が観測されること。自社が30日以内に侵害される確率、端末の何%が被害を受けるか、損失額ではない。FIRSTは実環境の対象の存在、到達性、結果の影響を追加して判断するよう説明している。
値は対象日を含めて保存し、変化や新しい悪用情報があれば再確認する。取得できない・未収録・古いキャッシュしかない状態を0へ変換しない。確率と順位の対応も分布に依存するため、固定した換算表で最新順位を作らない。
KEV掲載と低いEPSSが両立する理由
KEVは悪用の証拠が確認されたという材料で、EPSSは今後の観測に関する予測。この違いから、KEVに掲載されていてEPSSが低いことだけを矛盾や誤データと扱わない。自社での侵害を示す証拠やベンダーの悪用情報は、予測値とは別に扱う。
KEVのdateAddedはカタログへの追加日であり、最初の攻撃日ではない。CISAの説明ではスキャン・研究・公開された検証コードだけを悪用の証拠とは扱わず、悪用の試行と成功の両方が対象となり得る。掲載だけで、自社への侵入成功や現在の被害規模まで断定しない。
KEV未掲載は悪用なしの保証ではない。最近の直接の悪用情報、自社の検知、公式の対処があるときは、掲載や予測値の更新を待たずに判断する。攻撃コードや公開対象の探索を実施せず、許可された資産情報・ログと公式案内で確認する。
KEVの対応期限：2026年の指令と自社期限を分ける
CISAが2026年6月10日に発令したBOD 26-04はBOD 22-01と19-02を置き換え、公開範囲、KEV該当、自動化可能性、技術的影響を判断に用いる。以前の「一律に何週間」という説明を使わず、現在の指令、実施ガイダンス、カタログの対処・期限欄を照合する。
指令は、対象として定める米国の連邦文民行政府機関（FCEB）のシステムへ適用されるもので、日本の民間企業へ同じ期限が一律に課されるという意味ではない。自社では契約や適用要件、資産の条件を確認し、責任者が内部期限を決める。CISAも、指令に拘束されない組織にKEVへの対応を計画へ組み込むよう強く推奨している。
追加日から期限日までの日数だけで全資産の猶予を計算しない。ベンダーの緩和・更新・利用停止の案内、CISAの注記と必要な調査範囲、実際の公開状態を確認する。期限内でも自社の侵害疑いを放置せず、報告・保護と調査を並行する。
優先順位と導入比較：3条件を記録して初動へつなぐ
編集部の確認項目は、①対象製品・版の存在、②到達性と既存の保護、③業務・データへの影響。未確認は未確認として担当・確認予定を残す。KEVや高いEPSSを見ただけで対象全体を緊急停止したり、内部限定という表示だけで後回しにしたりしない。
CVSS、KEV、EPSSは一つの値に潰さず並べる。FIRSTはEPSSとCVSSの単純な掛け算を、意味のあるリスクスコアとして扱わないよう説明している。全組織共通の「EPSSが何%以上なら必ず何日以内」という基準は設けず、業務影響・対応能力・適用要件をそろえる。
ツールや委託先への確認では、同じ対象範囲・取得日・更新頻度、情報欠損時の扱い、承認と作業、更新後の確認・調査を比較する。カタログの確認自体は公式サイトで行える。製品の購入を初動の前提にせず、無料の判断ガイドから自社のチェックリストへ進む。
よくある誤解
- EPSSのパーセンタイル95%を、悪用確率や自社の被害確率95%と読まない。
- KEV掲載で自社の侵害を断定せず、低い予測値で直接の悪用情報を打ち消さない。
- KEV期限は現行の対象・条件を確認する。古い一律期限や、EPSSから作った期限を全社へ適用しない。
よくある質問
KEV掲載なのにEPSSが低い場合、対応を下げてよいですか？
低いEPSSだけを理由には下げません。KEVは確認された悪用、EPSSは今後30日間の予測で、両立します。自社に対象があるか、公開範囲、業務影響と直接の悪用情報を照合して対処します。
EPSSのパーセンタイル95%は、悪用確率95%ですか？
違います。パーセンタイルは評価されたCVE内の相対順位です。確率0.05なら5%の推定であり、順位や自社の被害確率とは別に、対象日とともに記録します。
KEVの期限は日本の民間企業にも一律に適用されますか？
CISA指令の義務の対象と、自社の契約・適用要件は分けて確認します。日本の民間企業へ同じ期限が一律に課されるという意味ではありません。現行の公式案内、公開範囲と業務影響に基づき内部期限を決めます。
編集・確認情報
CISAのKEVカタログ・利用案内・BOD 26-04本文とFIRSTのEPSS FAQ・利用案内を照合し、確率・順位・期限の適用範囲と初動を改訂しました。個別CVEの現在値、全件集計、実資産の影響・侵害確認や個別監修は行っていません。 最終確認日は 2026-10-30 です。
参考資料は用語・設計・機能例の確認先です。製品ごとの範囲は異なり、特定製品の推奨や比較全体の公式認定ではありません。資料の公開時点と現行の公式案内も合わせて確認してください。
新しい解説を見逃さない
CVE・KEVの初動対応や実務チェックリストは随時追加しています。使いやすい方法で更新を受け取れます。