国家による脆弱性報告政策が生む分断

　シンクタンクの The Atlantic Council の調査によると、中国の情報セキュリティ研究者が提供する脆弱性情報の数が急激に減少している。また、同調査では、奇妙なことに、その減少を補うように、不明な情報源からのバグ報告が増加していることも判明している。

　The Atlantic Council は、2021 年の「ネットワーク製品のセキュリティ脆弱性管理に関する規定」（RMSV）の施行を受けて、中国における情報セキュリティ研究について調査を行った。同規定は、中国国内の研究者に対して、発見したあらゆる脆弱性を中国の機関に報告するよう義務付けるものだ。The Register が既に報じている通り、この規制の目的とは、中国政府が脆弱性情報を蓄積し、戦略的、または攻撃的な作戦において悪用可能にすることである可能性がある。また、中国の研究者は国際的な情報セキュリティコンペに出場できなくなっているが、この規制の導入理由も同様だったと考えられている。

　The Atlantic Council は、この問題に関する報告書「竜の尾：国際サイバーセキュリティ研究の維持」において、中国の情報セキュリティ研究者は有能であり数多くの脆弱性を見つけ出していると指摘している。その有能な見つけ出しぶりの好例として、Alibaba による Log4Jバグの発見が挙げられる。

　しかし、この報告書によれば、Alibaba はこの問題を Apache Foundation に開示したことで、中国当局から制裁を受けたとのことだ。そのため、The Atlantic Council のチームは、中国が脆弱性報告の共有を禁じていることによって、世界のコミュニティに悪影響が生じているかどうかを調査することにした。