ホワイトハウス、発見したセキュリティ脆弱性を非開示にする場合のポリシーを公開

　ホワイトハウスは米国時間11月15日、「Vulnerabilities Equities Policy and Process」と題した文書（PDF）を公開した。これはセキュリティの脆弱性の開示について、米中央情報局（CIA）、米国家安全保障局（NSA）、米国土安全保障省（DHS）をはじめとする10の政府機関と協議を行う場合に、ホワイトハウスが従うプロセスを記述した文書だ。直ちに警告が出される脆弱性がある一方で、機密扱いとして非開示にされる脆弱性がある理由が説明されている。

　具体的には、ゼロデイ脆弱性のうち、それまで知られていないセキュリティの欠陥で、まだパッチが出ていない場合に、非開示の判断が下されることがある。政府機関は、そうした脆弱性を発見することが多く、これを自らハッキングの武器として用いることもあると説明している。NSAから盗まれたハッキングツールが原因で、「WannaCry」ランサムウェアが拡散したことを受けて、Microsoftは5月、政府が脆弱性の存在を秘匿して、それを修正できる企業に伝えなかったことを批判した。

　ホワイトハウスのサイバーセキュリティコーディネーターを務めるRob Joyce氏は11月15日のブログで、プロセスの透明性を高めることが極めて重要だと述べたが、その一方で、一部の脆弱性を秘匿する政府の判断を擁護した。

脆弱性の開示／非開示の判断に関して、ホワイトハウスが協議のプロセスを示した。
提供：White House