Coordinated vulnerability disclosureCERT: 脆弱性開示ポリシー
- 連絡先: ?
- ウェブサイト: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
- 確認日: 2017-09-21
CERT/CC に報告された脆弱性は、影響を受けるベンダーによるパッチや回避策が存在するか入手可能かにかかわらず、最初の報告から45日後に一般に公開されます。実際に悪用されている、特に重大な（または些細な）性質の脅威である、確立された標準の変更を必要とする状況であるといった、特別な事情がある場合には、公開がより早くまたはより遅くなることがあります。CERT/CC による公開には、報告者が別途要望しない限り、報告者のクレジットを含めます。影響を受けるベンダーには公開計画を通知し、必要な場合は、影響を受けるベンダーと別の公開スケジュールを交渉します。
本ポリシーの目的は、脆弱性について知らされるという公衆の必要と、ベンダーが効果的に対応するための時間を必要とすることとのバランスをとることです。公開スケジュールの最終的な決定は、コミュニティ全体の最善の利益に基づいて行います。
当方に報告された脆弱性は、報告を受け取った後、実行可能な限り速やかに、影響を受けるベンダーに転送されます。報告者の氏名と連絡先情報は、報告者が別途要望しない限り、影響を受けるベンダーに転送されます。当方に機密として提供された情報を明かさない範囲で、報告者が報告した脆弱性の状況に重要な変更があれば、報告者に知らせます。
脆弱性は Vulnerability Notes（脆弱性ノート）で公開されます。
米国政府のウェブサイトに関する脆弱性報告は、政府との調整のため US-CERT に転送されます。
よくある質問
Q: これは CERT/CC が「フルディスクロージャー」に転じるという意味ですか？
A: 「フルディスクロージャー」がエクスプロイトの配布を意味するのであれば、当方はエクスプロイトを配布しません。私たちの経験では、エクスプロイトが入手できることで恩恵を受ける人の数は、エクスプロイトを悪意をもって使う人々によって害を受ける人の数に比べて少数です。ただし、これまで公開してこなかったかもしれない脆弱性に関する情報は公開します。当方のリソースの範囲内で、できるだけ多くの脆弱性について情報を公開します。
Q: なぜ30日、15日、あるいは即時ではないのですか？
A: 大きな組織にとって45日はかなり厳しい期限になりうると考えます。それを短くしても、現実には問題の助けにはなりません。悪用の証拠がない場合に、むやみに脆弱性を発表することは、公共の安全にとって最善ではないかもしれません。
Q: 修正がない場合は、脆弱性を伏せておくほうがよいのではないですか？
A: 脆弱性は日常的に発見され公開されており、ベンダーが修正を提供する十分な機会を得る前であることも多く、公開にはしばしば動作するエクスプロイトが含まれます。私たちの経験では、責任ある適切な脆弱性情報の開示がなければ、脆弱性を発見した研究者、プログラマー、システム管理者、その他の IT 専門家は、ベンダーに問題への対処を迫るために情報を公開するしかないと感じることがよくあります。
Q: すべての脆弱性が45日以内に公開されますか？
A: いいえ。公開スケジュールを調整する事情がしばしばあります。特に重大な脅威や、悪用の証拠がある脅威では、公開スケジュールを短縮することになる可能性が高いです。「難しい」変更（標準の変更、OS の中核コンポーネントの変更）を必要とする脅威では、公開スケジュールを延長します。当方に報告されたすべての脆弱性を公開するとは限りません。
Q: ベンダーに脆弱性の発表で不意打ちをすることはありますか？
A: いいえ。公開の前に、当方の意図をベンダーに知らせるよう誠意をもって努力します。
Q: 問題に対する当方の評価にベンダーが同意しない場合、その情報は公開されますか？
A: はい。認証されたベンダーの声明を求めて掲載し、関連するベンダー情報を脆弱性ノートで参照します。ベンダーが提供した情報が当方の評価と異なるという理由だけで、それを差し控えることはしません。
Q: 公開前に誰が情報を受け取りますか？
A: 一般に、解決に貢献でき、かつ信頼関係のある人々に情報を提供します。これには、ベンダー（製品に脆弱性がないベンダーを含むことも多い）、コミュニティの専門家、スポンサー、そして危険にさらされていると考える場合は国の重要インフラの一部であるサイトが含まれます。
Q: 報告されたすべての脆弱性を公開していますか？
A: いいえ。当方の裁量で、脆弱性報告の調整や公開を行わないことがあります。この判断は、一般に、脆弱性の範囲と深刻度、そして調整および公開のプロセスに価値を加える当方の能力に基づきます。調整や公開を行うかどうかにかかわらず、報告者には、公開前に影響を受けるベンダーに通知し、直接協力するよう誠意をもって努力することをお勧めします。