NVDとはなにか
https://logmi.jp/tech/articles/323190

引用：　脆弱性発見・報告の際に付加されてい重要度指標って，実はあとからアップデートされます．
　「スコアが低いから」とか「そのプロダクトは使っているけれどその機能を使ってないから」とかで対策が不要だという運用方針にしていると痛い目にあう実績が亜あるようですよ．

　以前いたプロジェクトでは，自分たちが利用しているOSを含むプロダクト名とバージョンを登録しておくことで，関係する脆弱性情報が到着するとアラートが出る仕組みを使っていたけれど，アラートがでて報告しても運用部門の動きは鈍い．当然，ソフトウェアバージョンアップさせるためには影響調査と試験と関係部門・取引先との調整が必要になるから．
　影響が少ない暫定対処・運用回避方法があれば一時的にそれで逃れるという判断もあると思うけれど，その脆弱性が豹変する可能性がずっとついて回るので，それと向き合い続けられるのか．

　8月にあったPluse SecureのVPN装置の脆弱性攻撃による認証情報の漏洩事件．

VPN認証情報漏洩に見る脆弱性対策を浸透させる難しさ
https://www.security-next.com/117811