脆弱性情報（CVE）の集め方と優先度の付け方チェックリスト

• 材料をそろえる
• 使っている製品・バージョンの一覧（棚卸し）が1枚ある
• そのうち「外部公開しているもの」に印がついている
• 依存ライブラリの脆弱性チェックの仕組みがある
• 入口を決める
• 公的な一次情報（JPCERT/CC・IPA）のどれかを購読している
• 使っている製品のベンダー通知を購読している
• 通知先が個人アドレスでなく共有箱・共有チャンネルになっている
• 優先度をつける
• CVE／CVSS／KEV／EPSS の役割の違いを押さえている
• 「効くか × 悪用されているか」の2軸で仕分けている
• CVSSの点数だけで急ぐ／見送るを決めていない
• 「様子見・記録のみ」も判断として1行残している
• 続ける
• 週1・15分など、確認の枠を決めている
• 最優先のものを適用の段取りへ渡す流れがある
• 棚卸しの一覧を定期的に見直している

全部に○でなくてOKです。棚卸し1枚と入口ひとつがあれば、その日の判断はぐっと軽くなります。