報告者に報酬　脆弱性情報を集めるためにCISAが開始したプログラムとは？

米国で官民連携によって幅広く脆弱性情報を収集し、サイバー攻撃を未然に防ぐことを目指したプログラムが始動した。クラウドソーシングを使い、脆弱性の報告者に報酬を支払うこの仕組みはどのようなものか。

公開 2021年07月17日 05時00分

更新 2026年08月25日 16時12分

著者

Shaun Nichols

[TechTarget]

印刷する連載新着通知を受け取る

　米国のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、セキュリティベンダーのBugcrowdとEnDynaと手を組み、新しい脆弱（ぜいじゃく）性を報告するためのプログラムを開始した。

　CISAは米国土安全保障省（DHS）傘下のセキュリティ専門機関。今回、CISAがBugcrowdとEnDynaと共に始めたプログラムは、市民のセキュリティ専門家が米国政府機関のWebサイトで発見した脆弱性をCISAに報告して報酬を得られるもの。CISAが2020年9月、行政機関に対して命じた脆弱性開示ポリシー（VPN：Vulnerability Disclosure Policy）作成に続いて、広がっているサイバー攻撃に対抗する取り組みだ。

「クラウドソーシング」を使った報酬支払いの仕組みとは

併せて読みたいお薦め記事

米国政府機関がサイバー攻撃に対抗

システムを攻撃から守るには

新しいプログラムは、クラウドソーシング（不特定多数の人が参加する仕組み）によって資金を調達し脆弱性報告の報酬に充てるBugcrowdの仕組みを活用。米国政府のIT請負業者であるEnDynaのクラウドサービスも組み合わせ、システムを構築している。

　Bugcrowdのアシシュ・グプタCEOは「サイバー攻撃対策とリスク管理の必要性はかつてないほど高まっている。そうした中で、当社とCISAとのパートナーシップは、脆弱性に関するさまざまな情報を集め、サイバー攻撃にプロアクティブ（能動的）に立ち向かうことを可能にする」と言う。

　報酬を支払って脆弱性情報を収集することは、サイバー攻撃を未然に防ぐために有効な手段になり得る。昨今は巧妙な手口のサイバー攻撃が広がっているため、脆弱性について把握する必要性はより一段と高まっている。

　ただし、こうしたプログラムは報酬を目当てに大量の脆弱性情報の報告を促し、組織が緊急対応が必要なものを見分けることを難しくする恐れがある。専門家はまず、組織内で脆弱性の検出に注力し、その次のステップとして慎重に判断して一般市民の知恵を借りる、ということをアドバイスしている。

TechTarget発　世界のITニュース

新製品・新サービスや調査結果、セキュリティインシデントなど、米国TechTargetが発信する世界のITニュースをタイムリーにお届けします。

印刷する

TechTarget発　世界のITニュース

新製品・新サービスや調査結果、セキュリティインシデントなど、米国TechTargetが発信する世界のITニュースをタイムリーにお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Shaun Nichols

15年以上にわたる記者経験を持ち、まだスマートフォンがなかった時代から企業向けIT市場を取材してきた。組み込みシステム開発やスーパーコンピュータなど幅広い分野をカバー。米TechTargetの記事を執筆する傍ら、米エネルギー省（DOE）の研究所であるLawrence Berkeley National Laboratory（ローレンス・バークレー国立研究所）の出版物や企業IT情報サイト「The Register」にも寄稿している。サンフランシスコのベイエリアに住み、趣味は料理、ガーデニング、ビデオゲーム、スポーツ観戦。NFL（ナショナルフットボールリーグ）チーム「San Francisco 49ers」やMLB（メジャーリーグベースボール）チーム「San Francisco Giants」の大ファンだと自称する。