axios CVE-2026-40175（CVSS 10.0）公表時、24 時間以内に検知できた中堅企業は約 30%（GXO 独自ヒアリング、2026 年 4 月）。 残り 70% は SNS／メディアでの遅れた認知だった。情報源と通知経路を制度化していないと、Critical 級でも数日〜1 週間の遅延が発生する。本記事は、axios を含む OSS 全般を対象とした CVE 監視を、4 段階の運用設計で整理する。
目次
- 監視運用の 4 段階成熟度モデル
- 情報源 4 つの連携設計
- 通知 SLA とエスカレーションフロー
- Dependabot／Snyk／自社 CMDB との接続
- 月次 KPI ダッシュボード設計
- 運用工数の試算（中堅企業 5 規模）
- 運用ツールの選定マトリクス
- よくある質問（FAQ）
監視運用の 4 段階成熟度モデル
横にスクロールして確認できます
| 段階 | 状態 | 検知遅延 | 月次工数 |
|---|---|---|---|
| Lv1 アドホック | SNS／メディア依存 | 1-7 日 | 2-3h |
| Lv2 基本運用 | Dependabot のみ | 6-24h | 5-8h |
| Lv3 統合運用 | 4 情報源＋Slack 通知 | 1-6h | 10-15h |
| Lv4 自動化 | 自動 PR＋自動検証＋ダッシュボード | <1h | 8-12h（自動化で減） |
中堅企業（情シス 2-5 名）の現実的目標は Lv3。Lv4 は SRE チームを持つ規模から段階的移行。
EMERGENCY RESPONSE
この脆弱性、貴社システムは影響を受けますか？
影響範囲の一次評価を無料で実施。致命的脆弱性は24時間以内にアラートし、パッチ適用・恒久対応まで伴走します。
情報源 4 つの連携設計
① NVD（National Vulnerability Database）
- URL: nvd.nist.gov／CVE-ID 検索
- 形式: REST API（JSON）／RSS
- 強み: 公式・網羅
- 弱み: 公表まで数日遅れることがある
② GitHub Security Advisories（GHSA）
- URL: github.com/advisories
- 形式: REST API／GraphQL
- 強み: 速報性・OSS 直接連動
- 弱み: 全 OSS 網羅とは限らない
③ CISA KEV（Known Exploited Vulnerabilities）
- URL: cisa.gov/known-exploited-vulnerabilities-catalog
- 形式: JSON／CSV
- 強み: 実攻撃確認済の優先度判定に必須
- 弱み: 米国連邦機関基準、日本独自脅威は別途必要
④ npm 公式アドバイザリ
- URL: npmjs.com／advisories
- 形式: npm audit と連動
- 強み: npm エコシステム特化
- 弱み: npm 外（OS／コンテナ）は対象外
4 情報源の連携アーキテクチャ
[NVD API] ──┐
[GHSA API] ─┼→ 集約スクリプト（cron 1h 毎）
[KEV JSON] ─┤ ↓ filter（自社利用 OSS のみ）
[npm audit]─┘ ↓
[Slack #sec-alert]
[Snyk projects 自動同期]
[自社 CMDB に脆弱性紐付け]
通知 SLA とエスカレーションフロー
横にスクロールして確認できます
| 検知レベル | 通知先 | 一次対応 SLA | エスカレーション |
|---|---|---|---|
| Critical-A（CVSS≥9 + KEV） | Slack@all＋PagerDuty＋メール | 30 分以内 | CISO 即報告 |
| Critical-B（CVSS≥9） | Slack@here＋メール | 2 時間以内 | セキュリティ責任者 |
| High（CVSS 7-8.9） | Slack 通常＋メール | 24 時間以内 | 開発リーダー |
| Medium（CVSS 4-6.9） | 日次サマリーメール | 7 日以内 | 担当者 |
| Low | 週次サマリーメール | 30 日以内 | 担当者 |
Dependabot／Snyk／自社 CMDB との接続
Dependabot 自動 PR との連携
# .github/dependabot.yml
version: 2
updates:
- package-ecosystem: \"npm\"
directory: \"/\"
schedule:
interval: \"daily\"
labels: [\"deps\", \"security\"]
groups:
security:
applies-to: security-updates
patterns: [\"*\"]
Snyk Webhook → 自社 Slack Bot
Snyk の Webhook を受けて Slack に投稿する小さな Lambda／Cloud Functions を 1 本書く。1 日で構築可能。
CMDB（資産管理 DB）への紐付け
各システムの依存関係を CMDB に投入し、CVE 検知時に「影響システム ID」と「担当者」を一発で出せる状態を作る。SBOM の VEX 連携と組み合わせると自動化レベル向上。
月次 KPI ダッシュボード設計
横にスクロールして確認できます
| KPI | 目標値 | 計算方法 |
|---|---|---|
| Critical 検知遅延中央値 | < 6h | 公表時刻〜Slack 通知時刻 |
| Critical 適用 SLA 達成率 | ≥ 90% | 24h 以内適用数 / 全 Critical 数 |
| Dependabot PR マージ率 | ≥ 80% | マージ数 / 起票数（30 日窓） |
| 月次パッチ適用件数 | 中央値以上 | High+Critical のみ |
| SBOM カバレッジ | ≥ 95% | SBOM 化されたシステム数 / 全システム数 |
運用工数の試算
横にスクロールして確認できます
| 企業規模 | リポジトリ数 | 本番システム数 | 月次運用工数 | 推奨成熟度 |
|---|---|---|---|---|
| 小規模（〜50 名） | 5-15 | 1-3 | 3-5h | Lv2 |
| 中堅（50-300 名） | 30-100 | 5-15 | 10-15h | Lv3 |
| 中堅大（300-1000 名） | 100-300 | 15-40 | 25-40h | Lv3-Lv4 |
| 大企業（1000+ 名） | 500+ | 50+ | 60h+（専任体制） | Lv4 |
運用ツールの選定マトリクス
横にスクロールして確認できます
| 規模 | 検知 | 修正提案 | 自動 PR | ダッシュボード | 想定費用／年 |
|---|---|---|---|---|---|
| 小規模 | Dependabot＋npm audit | GitHub | Dependabot | GitHub Insights | 0 円 |
| 中堅 | + Snyk Pro | Snyk | Dependabot | Snyk＋自前 | 60-120 万円 |
| 中堅大 | + Snyk Enterprise | Snyk | Renovate | DataDog／自社 BI | 200-400 万円 |
| 大企業 | + 商用 SBOM／VEX 製品 | 商用 | Renovate＋自前 | 自社 SOC | 500 万円〜 |
よくある質問（FAQ）
Q. CVE 監視を SOC ／MSS 委託すべきか自社対応か？ A. 中堅以下は基本的に自社（Snyk＋Dependabot）が費用対効果で優位。中堅大以上で本番システム 30+ 規模になったら部分委託も選択肢。
Q. Twitter／X のセキュリティアカウント監視は必要？ A. 速報性で NVD／GHSA より早い場合があるため、補助情報として有用。ただし誤情報・誇張情報も多く、一次情報源としてではなく「キックオフトリガー」位置づけが妥当。
Q. axios 以外の OSS も同じプレイブックでカバーできる？ A. 設計上は可能。情報源と SLA テーブルは OSS 横断適用。npm 以外（PyPI／Maven／Cargo）は対応する audit ツール選定が必要。
参考資料
- NVD（nvd.nist.gov）API ドキュメント
- GitHub Security Advisories Database
- CISA Known Exploited Vulnerabilities Catalog
- IPA「脆弱性関連情報の届出」運用ガイドライン
CVE 監視運用の Lv2 → Lv3 移行設計、Slack Bot／自動 PR／ダッシュボード構築は、GXO のセキュリティ運用支援サービスで対応可能です。中堅企業向けに 2 ヶ月で Lv3 体制を立ち上げる導入パッケージを提供しています。
公式・一次情報（最終確認: 2026年7月12日）
- IPA 情報セキュリティ: https://www.ipa.go.jp/security/
- CISA Cybersecurity Resources: https://www.cisa.gov/topics/cybersecurity-best-practices
制度、仕様、価格、法令、脆弱性情報は改定されるため、発注・申請・対応の直前にリンク先の最新版と適用条件を再確認してください。
