CISA は Cybersecurity and Infrastructure Security Agency の略で、アメリカ政府のサイバーセキュリティとインフラ防護を担う機関です。注意喚起、脆弱性情報、運用ガイドを公開しており、日本語のベンダーアドバイザリや解説記事でも引用元としてよく出てきます。
いちばんよく使うのは KEV カタログ
実務で最も出番が多いのが KEV（Known Exploited Vulnerabilities）カタログです。実際に悪用が確認された脆弱性を集めた一覧で、CISA 自身が「実環境で悪用された脆弱性の権威ある出典」と位置づけています。
これが効く理由は、優先順位の問題を1段階で解けるからです。脆弱性は毎月大量に公表され、評価値だけで並べても手が回りません。「すでに悪用されているか」は、評価値より実務的な線引きになります。
米国の連邦機関には、この一覧に対して期限つきで対応を求める指令（BOD 26-04）が出ています。民間企業を法的に縛るものではありませんが、期限が設定されるほど緊急とみなされている印として読めます。
近い情報源との違い
CVE は脆弱性ごとの識別子、NVD は評価値や影響範囲を整理した台帳です。KEV はそこへ「悪用されているか」という軸を1本足したものと考えると位置づけがはっきりします。ベンダーのアドバイザリには修正版と回避策が載るので、対応の実務はそちらを見ます。
押さえておきたい注意点
そのまま自社の手順に写さないでください。CISA の資料は米国の政府機関を主な読み手としており、前提となる体制や要件が違います。読み分けるのは、どの脆弱性が危ないかという事実の部分と、誰がいつまでに何をすべきかという要件の部分です。前者は広く使えますが、後者は自社の事情に置き換える必要があります。
実務で見るポイント
社内に説明するときの根拠として強いのが利点です。「評価値が高いから」より「悪用が確認されているから」の方が、優先度を上げる説明として通りやすいです。運用としては、公開されている一覧を自社の資産棚卸しと突き合わせ、該当するものだけを拾う形にしておくと回ります。