国家による脆弱性報告政策が生む分断 | ScanNetSecurity
2023.02.03(金)

国家による脆弱性報告政策が生む分断

 シンクタンクの The Atlantic Council の調査によると、中国の情報セキュリティ研究者が提供する脆弱性情報の数が急激に減少している。また、同調査では、奇妙なことに、その減少を補うように、不明な情報源からのバグ報告が増加していることも判明している。

国際
国が決めたルールに違反してまで報告された脆弱性(画像はイメージです)
  • 国が決めたルールに違反してまで報告された脆弱性(画像はイメージです)

 シンクタンクの The Atlantic Council の調査によると、中国の情報セキュリティ研究者が提供する脆弱性情報の数が急激に減少している。また、同調査では、奇妙なことに、その減少を補うように、不明な情報源からのバグ報告が増加していることも判明している。

 The Atlantic Council は、2021 年の「ネットワーク製品のセキュリティ脆弱性管理に関する規定」(RMSV)の施行を受けて、中国における情報セキュリティ研究について調査を行った。同規定は、中国国内の研究者に対して、発見したあらゆる脆弱性を中国の機関に報告するよう義務付けるものだ。The Register が既に報じている通り、この規制の目的とは、中国政府が脆弱性情報を蓄積し、戦略的、または攻撃的な作戦において悪用可能にすることである可能性がある。また、中国の研究者は国際的な情報セキュリティコンペに出場できなくなっているが、この規制の導入理由も同様だったと考えられている。

 The Atlantic Council は、この問題に関する報告書「竜の尾:国際サイバーセキュリティ研究の維持」において、中国の情報セキュリティ研究者は有能であり数多くの脆弱性を見つけ出していると指摘している。その有能な見つけ出しぶりの好例として、Alibaba による Log4Jバグの発見が挙げられる。

 しかし、この報告書によれば、Alibaba はこの問題を Apache Foundation に開示したことで、中国当局から制裁を受けたとのことだ。そのため、The Atlantic Council のチームは、中国が脆弱性報告の共有を禁じていることによって、世界のコミュニティに悪影響が生じているかどうかを調査することにした。


《The Register》

編集部おすすめの記事

特集

国際 アクセスランキング

  1. 12年間子供たちをサイバー脅威から守る ~ CISA、教育機関向けレポートとツールキット公開

    12年間子供たちをサイバー脅威から守る ~ CISA、教育機関向けレポートとツールキット公開

  2. 中国、情報セキュリティ産業を2025年に220億ドル規模に

    中国、情報セキュリティ産業を2025年に220億ドル規模に

  3. 生理アプリのデータ販売を違法にする法案提出、診療所周辺のジオフェンシングも禁止

    生理アプリのデータ販売を違法にする法案提出、診療所周辺のジオフェンシングも禁止

  4. ランサムウェア攻撃の身代金は支払わない傾向、攻撃者 収入半減

  5. [インタビュー] ランサムウェア身代金交渉人の告白:後編「修羅場の交渉マニュアル」

  6. CrowdStrike Blog:APT 攻撃に立ち向かう~世界のサイバー攻撃者リスト

  7. ランサムウェアの身代金支払いで反社への資金供与システムと化すサイバー保険産業

  8. 日本で最もセキュリティを大切にする大手通販が経験者採用中 ~ ジャパネットセキュリティ担当者座談会 5/18、6/8(火)19時開催

  9. ディズニーのサイト、攻撃される(Walt Disney World)

  10. 選挙ハッキングの不安を払拭、オープンソースの新しい投票システム Helios とは(The Register)

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×