Column

自社の製品でセキュリティ脆弱性が報告されたら　PART2

PART1に続き、本稿では報告者への対応や処理プロセス確立の方法について紹介していく。

　自社製品について脆弱性が報告されたらどうしたらいいのか――PART1に続き、本稿では報告者への対応や処理プロセス確立の方法について紹介していく。

セキュリティ脆弱性の報告にどう対応するか

　業界団体のオーガニゼーション・フォー・インターネット・セーフティ（OIS）は、脆弱性の報告を受けた場合の対応計画の整備に役立つ一連のガイドラインを策定した。このガイドラインでは、対応計画の整備過程が5つの段階に分けられ、各段階がどのようなものか、各段階で何を行うべきかの概要が示されている。

　最初に行わなければならないのは、報告の処理プロセスを確立することだ、とコフィー氏は説明した。社内ネットワークを使ってそのプロセスを周知し、なすべきことが従業員に理解されるようにしなければならない。さらに、報告のためのインフラとリポジトリも用意する必要がある。

　「脆弱性の報告に使えるWebサイトや電子メールアドレスが必要だ。こうした報告の仕組みは、担当スタッフを置いて適切に機能するようにしなければならない」とコフィー氏。「報告が届かないという事態はあってはならない」

　また、脆弱性の報告要件も定める必要がある。具体的には発見者に対し、報告の中で、発見者の氏名と連絡先、不具合がある製品の名前、不具合を発見した際の使用OS、使用ツール、発見者の意図、実証コードを提供できるかどうか、不具合を突いて問題を発生させる操作の再現方法などを明記するよう求めなければならない。

　「発見者に後で何度も問い合わせて煩わせてはならない。必要な情報はあらかじめ明示しておくべきだ」（コフィー氏）

　さらに、報告を受けてからの過程を管理する仕組みを持つことや、従業員の役割と責任を規定しておくことも必要だ。

　脆弱性報告への対応では、コミュニケーションがカギを握るとコフィー氏は強調した。発見者から報告を受けたら、ベンダーは礼状を送付するとともに、情報を公開する日の大まかな目安を取り決める必要がある。さらにベンダーは、発見者が忘れられたと思ったりしないように、毎週、進捗を電子メールで伝えるべきだ。また、法的な目的でやり取りをすべて記録することもベンダーにとって重要だ。

　「彼らは脆弱性について親切に知らせてくれたのだから、コミュニケーションを通じてお返しをしなければならない」（コフィー氏）

　しかし、そのコミュニケーションは慎重に行わなければならない。誠実に対応すべきだが、発見者が知らなければならないことだけを述べるようにすべきだ。自ら進んで情報を提供してはならない。例えば、実際には発見者の報告よりも多くの脆弱性があるとしても、発見者にそれを教えるべきではない。

関連記事

• https://www.itmedia.co.jp/enterprise/articles/0603/29/news050.html

新着ホワイトペーパー PR

• 製品資料
  [o9ソリューションズ・ジャパン株式会社] 「改正物流効率化法対策」徹底解説　総物流費を抑制するサプライチェーン戦略
• 製品資料
  [o9ソリューションズ・ジャパン株式会社] 「サプライチェーン最適化」実践ガイド：効果的な意思決定を実現する秘訣とは？
• 製品資料
  [株式会社リンプレス] 非デジタル／IT人材を「自走するDX推進者」に変えるための育成ロードマップ
• 市場調査・トレンド
  [ワンアイルコンサルティング株式会社] AI時代の組織設計：「判断と責任」を人に残すための2つの原則とは？
• 技術文書・技術解説
  [ワンアイルコンサルティング株式会社] システムの保守がモダン化を阻む？　「変えない判断」から脱却する方法とは