logo

ホワイトハウス、発見したセキュリティ脆弱性を非開示にする場合のポリシーを公開

Alfred Ng (CNET News) 翻訳校正: 緒方亮 長谷睦 (ガリレオ) 編集部2017年11月16日 14時24分
  • このエントリーをはてなブックマークに追加

 ホワイトハウスは米国時間11月15日、「Vulnerabilities Equities Policy and Process」と題した文書(PDF)を公開した。これはセキュリティの脆弱性の開示について、米中央情報局(CIA)、米国家安全保障局(NSA)、米国土安全保障省(DHS)をはじめとする10の政府機関と協議を行う場合に、ホワイトハウスが従うプロセスを記述した文書だ。直ちに警告が出される脆弱性がある一方で、機密扱いとして非開示にされる脆弱性がある理由が説明されている。

 具体的には、ゼロデイ脆弱性のうち、それまで知られていないセキュリティの欠陥で、まだパッチが出ていない場合に、非開示の判断が下されることがある。政府機関は、そうした脆弱性を発見することが多く、これを自らハッキングの武器として用いることもあると説明している。NSAから盗まれたハッキングツールが原因で、「WannaCry」ランサムウェアが拡散したことを受けて、Microsoftは5月、政府が脆弱性の存在を秘匿して、それを修正できる企業に伝えなかったことを批判した

 ホワイトハウスのサイバーセキュリティコーディネーターを務めるRob Joyce氏は11月15日のブログで、プロセスの透明性を高めることが極めて重要だと述べたが、その一方で、一部の脆弱性を秘匿する政府の判断を擁護した。


脆弱性の開示/非開示の判断に関して、ホワイトハウスが協議のプロセスを示した。
提供:White House

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

-PR-企画特集