脆弱性情報が増え続ける中、政府機関や組織の間で資金を共有する取り決めに変更があったことで、2024年2月中旬にNISTはNVDプログラムの活動を縮小した（注1）。サイバーセキュリティ事業を営むFlashpointの調査によると、NISTは2023年に、過去最高の3万3137件の脆弱性を報告した（注2）。

　NISTは2024年5月29日（現地時間）に情報を更新し（注3）、「NVDに登録されている膨大な脆弱性の未処理分を2024年9月末までに解消する予定だ」と述べた。

　米国が運営するWebサイトUSAspending.govによると、脆弱性情報公開が停滞していることを解決するため、NISTはメリーランド州に本拠を置くAnalygenceと86万5657ドルで契約を結んだ（注4）。契約の内容はNVDに寄せられる脆弱性の処理をサポートする目的で、サイバーセキュリティ分析と電子メールサポートをAnalygenceが実行するというものだ。Analygenceのトム・ペイトラー氏（最高執行責任者）は「業務を開始するのは2024年6月3日の週だ」と述べた。

　「AnalygenceはNISTの共通プラットフォーム列挙プロセスを利用し、共通脆弱性スコアリングシステムに従って、既存の脆弱性の未処理分を順次処理する」（ペイトラー氏）

　NISTとAnalygenceの契約は2024年12月に終了し、2025年7月までサービスを延長するオプションが含まれている。総額は約180万ドルに達する。

　NISTのリッチ・プレス氏（メディア担当ディレクター）は、2024年5月30日に「契約に基づいてスタッフが脆弱性の処理をサポートし、今後数カ月以内に以前の処理速度に戻すことができるだろう。しかし、これだけでは2024年2月以降に蓄積された未処理分を解消することはできない」と述べた。

　米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も未処理の脆弱性に関する追加情報を提供することでNISTを支援しており、脆弱性のデータベースへ情報を追加する際に役立っている。

　「以前CISAは、NISTのNVDプログラムを年間約370万ドルの省庁間資金で支援していたが、これを打ち切った。私たちは、その損失を補うために、NISTの既存の資金をNVDプログラムに振り分けた」（プレス氏）

　NISTによると、CISAからの省庁間資金は2023年9月下旬に終了した。

　CISAの広報担当者は、2024年5月31日に次のように述べた。

　「テクノロジーコミュニティーは脆弱性を緩和する優先順位を決めたり、リスクを理解したりするために、脆弱性に関する情報に依存している。私たちは新たに公開された脆弱性に関連するリスクを軽減するために、限られたリソースを最も効果的に配分する方法を継続的に評価すると同時に、脆弱性が起こりにくいソフトウェアの設計手法を採るようベンダーに対して働きかけている」。CISAはシフトレフトを推進している。

増え続ける未処理のデータ

　脆弱性の処理を正常な状態に戻すため、CISAとNISTは、なじみのパートナーのAnalygenceを頼っている。

　NISTのコンピュータセキュリティ部門や応用サイバーセキュリティ部門、その他のサイバーセキュリティとプライバシーの業務支援のために、2023年12月にNISTはAnalygenceと125万ドルの契約を締結した（注5）。また、過去にはCISAがAnalygenceと、同機関の脆弱性管理部門を支援する契約を締結していた（注6）。

　NVDの活動が強化される中、外部研究者たちは未分析の脆弱性が増加したことに警鐘を鳴らた。VulnCheckは2024年5月20日の週の報告で「2024年2月中旬以降にNVDで公開された脆弱性のうち、NISTは10分の1未満しか分析していない」と述べた（注7）。

　NISTは「VulnCheckの分析を再現することはできないが、NVDに提出された全ての脆弱性の状況はオンラインで確認できる」と述べた。

　プレス氏はVulnCheckの調査結果に対し、「CISAのKnown Exploited Vulnerabilitiesというリストで特定された積極的に悪用される脆弱性を含め、最も重要な脆弱性を優先している」と述べた。

　NISTは、2024年9月30日に終了する米国政府の会計年度末までに、脆弱性の未処理分を解消する予定だ。