国家による脆弱性報告政策が生む分断 | ScanNetSecurity
2024.02.23(金)

国家による脆弱性報告政策が生む分断

 シンクタンクの The Atlantic Council の調査によると、中国の情報セキュリティ研究者が提供する脆弱性情報の数が急激に減少している。また、同調査では、奇妙なことに、その減少を補うように、不明な情報源からのバグ報告が増加していることも判明している。

国際
国が決めたルールに違反してまで報告された脆弱性(画像はイメージです)

 シンクタンクの The Atlantic Council の調査によると、中国の情報セキュリティ研究者が提供する脆弱性情報の数が急激に減少している。また、同調査では、奇妙なことに、その減少を補うように、不明な情報源からのバグ報告が増加していることも判明している。

 The Atlantic Council は、2021 年の「ネットワーク製品のセキュリティ脆弱性管理に関する規定」(RMSV)の施行を受けて、中国における情報セキュリティ研究について調査を行った。同規定は、中国国内の研究者に対して、発見したあらゆる脆弱性を中国の機関に報告するよう義務付けるものだ。The Register が既に報じている通り、この規制の目的とは、中国政府が脆弱性情報を蓄積し、戦略的、または攻撃的な作戦において悪用可能にすることである可能性がある。また、中国の研究者は国際的な情報セキュリティコンペに出場できなくなっているが、この規制の導入理由も同様だったと考えられている。

 The Atlantic Council は、この問題に関する報告書「竜の尾:国際サイバーセキュリティ研究の維持」において、中国の情報セキュリティ研究者は有能であり数多くの脆弱性を見つけ出していると指摘している。その有能な見つけ出しぶりの好例として、Alibaba による Log4Jバグの発見が挙げられる。

 しかし、この報告書によれば、Alibaba はこの問題を Apache Foundation に開示したことで、中国当局から制裁を受けたとのことだ。そのため、The Atlantic Council のチームは、中国が脆弱性報告の共有を禁じていることによって、世界のコミュニティに悪影響が生じているかどうかを調査することにした。


《The Register》

編集部おすすめの記事

特集

国際 アクセスランキング

  1. 勤務時間外の上司のメールは懲役 ~ 豪 つながらない権利法案 性急な法制化

    勤務時間外の上司のメールは懲役 ~ 豪 つながらない権利法案 性急な法制化

  2. ロシアのスノーデンか「Vulkanファイル」流出

    ロシアのスノーデンか「Vulkanファイル」流出

  3. 乗っ取った正規サイトは七万件 最新マーケ技術駆使し犠牲者誘導、明らかになってきた犯罪ネットワーク VexTrio

    乗っ取った正規サイトは七万件 最新マーケ技術駆使し犠牲者誘導、明らかになってきた犯罪ネットワーク VexTrio

  4. スパム電子メールを作成するPegasusトロイの木馬

  5. 100 人のセレブ女性がオンラインでヌードを晒される~Apple の iCloud アカウントハッキングの犠牲となったセレブリティたち(The Register)

  6. 音楽認識アプリ Shazam 、終了しても録音継続 ~ 開発元:「仕様です」 「重大なリスクはない」 (The Register)

  7. 新規登録ドメインの七割が怪しい、作成 32 日未満ドメインはブロック推奨 ~ 1,530 TLD 新規ドメイン調査結果解説(The Register)

  8. 四年で四度の情報漏えい エドテック大手 政府から落第点

  9. 米裁判所が異例の常識的判断、Wannacry 仕留めた後 FBI に逮捕された英国人技術者を無罪放免(The Register)

  10. 関係者以外の校内立ち入りが大きなセキュリティリスクに、フランス国内の学校に配置されたポケモンの排除をナイアンティックに要請

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×