国家による脆弱性報告政策が生む分断 | ScanNetSecurity
2024.06.23(日)

国家による脆弱性報告政策が生む分断

 シンクタンクの The Atlantic Council の調査によると、中国の情報セキュリティ研究者が提供する脆弱性情報の数が急激に減少している。また、同調査では、奇妙なことに、その減少を補うように、不明な情報源からのバグ報告が増加していることも判明している。

国際
国が決めたルールに違反してまで報告された脆弱性(画像はイメージです)

 シンクタンクの The Atlantic Council の調査によると、中国の情報セキュリティ研究者が提供する脆弱性情報の数が急激に減少している。また、同調査では、奇妙なことに、その減少を補うように、不明な情報源からのバグ報告が増加していることも判明している。

 The Atlantic Council は、2021 年の「ネットワーク製品のセキュリティ脆弱性管理に関する規定」(RMSV)の施行を受けて、中国における情報セキュリティ研究について調査を行った。同規定は、中国国内の研究者に対して、発見したあらゆる脆弱性を中国の機関に報告するよう義務付けるものだ。The Register が既に報じている通り、この規制の目的とは、中国政府が脆弱性情報を蓄積し、戦略的、または攻撃的な作戦において悪用可能にすることである可能性がある。また、中国の研究者は国際的な情報セキュリティコンペに出場できなくなっているが、この規制の導入理由も同様だったと考えられている。

 The Atlantic Council は、この問題に関する報告書「竜の尾:国際サイバーセキュリティ研究の維持」において、中国の情報セキュリティ研究者は有能であり数多くの脆弱性を見つけ出していると指摘している。その有能な見つけ出しぶりの好例として、Alibaba による Log4Jバグの発見が挙げられる。

 しかし、この報告書によれば、Alibaba はこの問題を Apache Foundation に開示したことで、中国当局から制裁を受けたとのことだ。そのため、The Atlantic Council のチームは、中国が脆弱性報告の共有を禁じていることによって、世界のコミュニティに悪影響が生じているかどうかを調査することにした。


《The Register》

編集部おすすめの記事

特集

国際 アクセスランキング

  1. 役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

    役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

  2. ハッカーがポート1080 (SOCKSプロキシーサーバー)のスキャニングを実行

    ハッカーがポート1080 (SOCKSプロキシーサーバー)のスキャニングを実行

  3. 訃報「伝説のハッカー」ケビン・ミトニック氏 59歳

    訃報「伝説のハッカー」ケビン・ミトニック氏 59歳

  4. 米政府、病院 IT システムの自動パッチ適用ツールに 80 億円投入

  5. 失業後データ盗み大手 IT 企業を恐喝、セキュリティコンサルタント 57 歳起訴

  6. アイルランドのISPが児童ポルノのフィルタリングを行うよう求められる~子供よりも著作権を優先しているとネットビジネスを非難(The Register)

  7. 医療機関向けセキュリティベンダCOO「事業拡大」のため病院をサイバー攻撃した罪を認める

  8. Nimda.E変種ワームが、異なるファイル名を伴って攻撃開始

  9. FBI「ハーバード大の 20 歳が、期末試験を避けるため Tor を介して大学へ爆弾脅迫メールを送信した」~匿名ネットワークツールの利用は大学のネットワークのログで暴かれたとの主張(The Register)

  10. サイバー犯罪者がある種の道徳的指針を持つ時代は過ぎ去った

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×