～脆弱性をいつ、どのように公開するべきか議論を提起
米ISSが「脆弱性開示ガイドライン」を発表
■URL
http://bvlive01.iss.net/issEn/delivery/prdetail.jsp?type=&oid=21567
http://documents.iss.net/literature/vulnerability_guidelines.pdf
セキュリティー企業の米Internet
Security Systems(ISS)は2日、ソフトウェアに脆弱性が発見された場合に、どのような手順でその情報を開示すべきかを記したISS内のガイドラインである「Vulnerability
Disclosure Guidelines」（脆弱性開示ガイドライン）を公表した。ISS傘下の組織X-Forceは、セキュリティー問題の研究と脆弱性情報の公開で有用な情報源として知られているが、X-Forceがこのガイドラインに従う。
今回このようなガイドラインを公表した理由についてISS X-ForceのディレクターChris Rouland氏は「セキュリティーを研究する組織は、国民が必要なときに脆弱性に関する重要な情報を知る必要性を反映しながらも、その一方でソフトウェアベンダーが彼らの製品の問題を解決するための十分な検討ができるようにし、国民が問題を修正する行動をとる間もなくリスクにさらされることがないような基準を確立しなければならない。我々は現在のガイドラインを公表することによって対話を促進し、他のセキュリティーを研究する組織にも同様のプロシージャを確立するよう励ます助けになると信じている」と説明した。
ソフトウェアの脆弱性の情報の公開方法には、これまでさまざまな議論がなされてきた。脆弱性を発見すると同時にソフトウェアベンダーに通知することなく公開したためにユーザーが危険にさらされたケースや、脆弱性の存在を明らかにするためのツールまでも公開されたためにウィルスに悪用されたり、不正侵入の道具に使われたことすらある。一方で脆弱性の存在を指摘してもソフトベンダーが修正を行なわない、あるいはその存在を認めたがらないという現実もあり、ソフトウェアの脆弱性の問題をどのように扱うべきかに関しては数々の議論が行なわれている。今回のISSのRouland氏のコメントはこうした現状を反映している。
また、ソフトウェアの脆弱性に対する対応についてしばしば批判にさらされているMicrosoft Security Responce CenterのマネジャーScott Culp氏は「コンピューターユーザーは、セキュリティーの研究者とソフトベンダーが脆弱性を早期に認識し除去するために共に働くときに益を得る。我々はこの分野においてISSがリーダーシップをとり、利用者の最善の利益を反映した企業向けのガイドラインを開発したことを賞賛する」とコメントしている。
ISSのX-Forceガイドラインはソフトウェアの脆弱性公開プロセスを四つのフェーズに分類し、発見段階フェーズ、ベンダーに通知するフェーズ、顧客に通知するフェーズ、そして最終的に国民全体に開示するフェーズとし、その詳細はISSのWebサイトからガイドラインをダウンロードすることができる。
◎関連記事
■連載 今知っておくべき危険 セキュリティーホールの謎と根源に迫る <前編>
■連載 今知っておくべき危険 セキュリティーホールの謎と根源に迫る <後編>
(2002/12/3)
[Reported by 青木 大我 (taiga@scientist.com) ]