ホワイトハウスは米国時間11月15日、「Vulnerabilities Equities Policy and Process」と題した文書(PDF)を公開した。これはセキュリティの脆弱性の開示について、米中央情報局(CIA)、米国家安全保障局(NSA)、米国土安全保障省(DHS)をはじめとする10の政府機関と協議を行う場合に、ホワイトハウスが従うプロセスを記述した文書だ。直ちに警告が出される脆弱性がある一方で、機密扱いとして非開示にされる脆弱性がある理由が説明されている。
具体的には、ゼロデイ脆弱性のうち、それまで知られていないセキュリティの欠陥で、まだパッチが出ていない場合に、非開示の判断が下されることがある。政府機関は、そうした脆弱性を発見することが多く、これを自らハッキングの武器として用いることもあると説明している。NSAから盗まれたハッキングツールが原因で、「WannaCry」ランサムウェアが拡散したことを受けて、Microsoftは5月、政府が脆弱性の存在を秘匿して、それを修正できる企業に伝えなかったことを批判した。
ホワイトハウスのサイバーセキュリティコーディネーターを務めるRob Joyce氏は11月15日のブログで、プロセスの透明性を高めることが極めて重要だと述べたが、その一方で、一部の脆弱性を秘匿する政府の判断を擁護した。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス
ものづくりの革新と社会課題の解決
ニコンが描く「人と機械が共創する社会」