ハッカーたちの間では、セキュリティ向上のために研究を共有することの重要性が何年も前から知られていた。一方、協調して脆弱性を開示することの重要性も、世界中の政府によってますます認識されるようになってきた。情報開示とセキュリティ研究者の保護という原則は国境を越えて共通であるものの、国によって重要な違いがある。本パネルでは、重要な公共政策や企業の行動に影響を与える可能性のあるグローバルな視点を提示する。 ENISAは、2022年4月に「EUにおける脆弱性開示政策の調整」を発表した。本報告書では、EU加盟国における脆弱性開示の協調政策の現状を客観的に紹介するだけでなく、中国、日本、米国における脆弱性開示の運用を紹介している。それらを踏まえて、協調的な脆弱性開示プロセスに望ましい要素やベストプラクティスの要素を検討し、その後、課題や問題点について議論する予定。 本報告書の内容を共有し、日本における運用の課題と今後の方向性、米国における国家安全保障と脆弱性対応の課題を、各法域の代表者とのパネルディスカッションで明らかにすることを目的としています。 パネリストは、日本では早期警戒パートナーシップ通知機関の実務に携わる方々、欧州では上記報告書の執筆者、米国では上記報告書の寄稿者 日本では、脆弱性対応における体制意識、インセンティブ、未処理案件の増加、いわゆるトリアージなどの課題が紹介される予定 米国からは、国家安全保障のための脆弱性情報の開示方針（Vulnerabilities Equities Process）、脆弱性研究の不起訴方針の公表などを紹介するとともに、この問題の歴史的背景を紹介する。 パネルディスカッションを通じて、脆弱性開示政策を取り巻く国際情勢や今後の動向、特にサイバーセキュリティにおける脆弱性の重要な役割とそれを取り巻く社会が抱える課題について参加者に理解していただくことを目的とする。

1. 「協調された脆弱性開示
の現在と未来」導入
国際パネルディスカッション
（JPN）板橋博之（Information Promotion Agency）
（EU）Lorenzo Pupillo, Ph.D.（Associate Senior Research Fellow - GRID Unit、
Head of the Cybersecurity@CEPS Initiative）
（US）Allan Friedman, PhD（Senior Advisor and Strategist、Cybersecurity &
Infrastructure Security Agency）
コーディネイター 高橋郁夫(駒澤綜合法律事務所/弁護士)

2. 脆弱性の意義
• 定義
• 日本の早期警戒パートナーシップの定義
• 「コンピュータウイルス、コンピュータ不正アクセス等の攻撃によりその機能
や性能を損なう原因となり得る安全性上の問題箇所（略）」
• ISO/IEC 27000:2009, 2.46, modified
• 「悪用されうるソフトウエア、ハードウエア、オンラインサービスの弱点」
• 現代における意義
• サイバー脅威の契機-「燃料」
• 誰にとっての契機なのか
• 犯罪者/国家支援行為者
• 政府

3. 協調された脆弱性開示
完全開示の原則
• 悪意ある攻撃者は、脆弱性情報をす
でに知っており、攻撃者のテクニッ
クをすべての人が知りうるのがベス
トである
• ベンダは、脆弱性情報が、ひとたび
公開されてしまえば、脆弱性につい
てのバグを隠すことはできない
• 脆弱性の情報を公開することは、将
来におけるよりよいシステムをつく
るために必要である
• 脆弱性情報は、発見者の自身の財産
である、という概念は、積極的な意
味を持ちうる
責任ある開示
• 脆弱性の大多数は、脆弱性を解消する
という目的よりも、自己の力量の顕示
などの公開すること自体が目的である
という動機によって導かれて調査され、
公開される
• 脆弱性を公開するにも効果的な他の方
法が有り得る
• より良いシステムを作るためといって
も脆弱性情報の詳細を教えたりテスト
したりする必要はない

4. 協調された脆弱性開示の現在
日本 欧州 米国
現在 • 早期警戒パートナーシッ
プ(2004-)
• PSIRTの啓発活動
• 国家機関の積極的な媒介
機能
• 「協調された脆弱性開示のポ
リシー」
• 国ごとにまちまちな対応
• 例 先進的なベルギー、オラ
ンダ、フランス
• 法的事件と発見者の保護の動
きとの調和
• 政府の活動
• FTC (連邦取引委員会)や
IoTにおける規制当局の動
き
• 研究者とベンダーとの協力
• 法執行機関による「活用」
世界的動向 • 国家の安全保障とサイバーセキュリティとのより密接な関係
• バグバウンティプログラム
• ISO 等による標準化
• ISO/IEC 29147:2018120 Information technology -- Security techniques -- Vulnerability disclosure
• ISO/IEC 30111:2013 Information technology -- Security techniques -- Vulnerability handling processes
• RFC9116 セキュリティ脆弱性開示支援のためのファイルフォーマット