米国の脆弱性情報共有プログラムに懸念の声

Kevin Poulsen（SecurityFocus）
2004年2月22日 12:26 GMT

国際海外情報

2004年3月2日（火） 12時00分

Kevin Poulsen（SecurityFocus）
2004年2月22日 12:26 GMT

　重要なシステムの脆弱性に関する機密情報を企業から連邦政府に報告することを促すプログラムがとうとう金曜日（20日）に施行された。しかし、批評家らは同プログラムを有害無益と懸念している。

　同プログラム Protected Critical Infrastructure Information (PCII) は、米国の基幹産業のインフラを運用する企業（エネルギー会社、通信事業者、金融機関など）が自社の物理的脆弱性およびサイバー上の脆弱性に関する情報を新設された政府機関に報告することを促すものだ。その機関は国土安全保障省（DHS）の管轄下にあり、提供された情報が企業の不利益につながらないよう、あるいは一般に公開されないよう法的に保証するものだ。

　同プログラムは数年間、連邦議会で様々な議論が重ねられた。そして9月11日のテロ攻撃発生後、その物議を醸した法案は2002年国土安全保障法の一環として議会を通過し、法制化された経緯がある。DHS は長年にわたり、重要なインフラの脆弱性および潜在的な攻撃ポイントに関する情報を探していた。しかし民間企業は、情報公開法（FOIA）に基づき企業にとって都合の悪い機密情報が漏洩される恐れがあるとして、情報の報告には消極的だった。

　金曜（20日）の時点では、企業が一定の手続きに従い、新設された PCII 局に情報を提供した場合、連邦法が FOIA による情報開示から脆弱性情報を保護し、また政府機関担当者による情報漏洩を不正行為と規定している。

　前ホワイトハウス・サイバーセキュリティ顧問 Howard Schmidt 氏は次のように述べている。「長い道のりだった。これまでは、非公式な報告があるだけだった。つまり、オフレコの議論というレベルで、文書化できるものではなかった。しかしこの法律により、さらに詳しい情報を入手でき、その事象がありふれたハッキング行為なのか、それとも政府機関の介入を必要とするものなのかを適切に解析できる」

　しかし、一部の公益擁護者らはこの法律に懸念を示している。その懸念の一つは、PCII プログラムが本来の趣旨とは正反対に機能する恐れがあるということだ。つまり、命令あるいは世間の圧力により企業に対して強制的に脆弱性を修正させる手段を政府機関から奪うものだと主張している。

　OMB Watch の上級政策アナリスト Sean Moulton 氏は次のように述べた。「基本的に、情報は政府機関に行くが、そこで終わってしまう。私見だが、その法律は企業に脆弱性の報告を奨励するだけで、政府機関は十分な権限を持っておらず、また世間に脆弱性を警告することもできない。

　より効果的に機能させる方法として、政府への脆弱性の報告を企業に義務付け、そして企業に脆弱性を修正させる権限、あるいは一般に警告する権限を政府に付与するのだ。本当に重要なインフラの脆弱性の場合、企業に脆弱性を報告しないという選択肢を与えるべきではないと思う」

●影 VS 日なた

　他方、批評家は PCII プログラムが機能しないという懸念は持っていない。しかし、その新しい法律が企業自身の怠慢を法律的に隠蔽することになり、引いてはセキュリティの強化どころか脆弱化を招く恐れがある、と彼らは警告する。

　同法律の主な規定は、法の執行の際に政府が企業に対して脆弱性情報を使用するのを禁じており、また新法律あるいは業界の規制を提案するための根拠として脆弱性情報を使用することも禁じている。さらに、脆弱性情報が漏洩した場合、法廷で企業に対してその情報を使用することはできない。

［情報提供：The Register］
http://www.theregister.co.uk/

［翻訳：関谷　麻美］

（詳しくはScan本誌をご覧ください）
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec

《ScanNetSecurity》