2021年12月28日 05時00分 公開
特集/連載

クラウドセキュリティ団体CSAトップが語る「脆弱性公開の仕組み」に必要な2条件クラウドサービスの脆弱性にCVEは必要か【第4回】

クラウドサービスの脆弱性が見えにくい現状を打破するため、セキュリティ専門家がクラウドサービスの脆弱性公開の枠組みを考案した。その要件とは何か。どのようなメリットをもたらすのか。

[Shaun Nichols,TechTarget]

 クラウドサービスの脆弱(ぜいじゃく)性が公になるプロセスには、さまざまな問題が残っている。それらの問題を是正するための取り組みが、脆弱性識別子「CVE」(Common Vulnerabilities and Exposures)の制度改革だ。クラウドセキュリティベンダーWizの研究チームは、セキュリティカンファレンス「Black Hat 2021」のセッションで、クラウドサービス向けのCVEの枠組みを提唱した。

 クラウドサービスでも不都合のない新たな脆弱性識別子「UVI」(Universal Vulnerability Identifier)策定の取り組みも始まっている。UVIは、迅速で利用しやすく、オープンソースソフトウェア(OSS)やクラウドサービスの脆弱性に関する特異な状況もカバーできる識別子を目指す。

CSAトップが提唱する、クラウドサービスの脆弱性公開の仕組み

 脆弱性公開の仕組みを見直すことは、ベンダーとセキュリティ研究者の両方に満足感をもたらし得る。その結果、クラウドサービスの透明性や明白性が高まると考えられる。

 クラウドセキュリティ推進団体Cloud Security Alliance(CSA)のCEOであるジム・リービス氏が、クラウドサービスの脆弱性公開に必要だと考える仕組みの条件は以下の通りだ。

  • 時間の流れに沿って、あらゆる人が編集可能な「Wiki」方式で拡張できること
  • 信頼の置ける脆弱性識別子をオンデマンドで迅速に発行できること

 こうした仕組みがあれば、脆弱性のさらなる詳細が明らかになったときに脆弱性情報が充実する。CVEやセキュリティベンダー独自の脆弱性データベースと連携させることも可能になる。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

ITmedia マーケティング新着記事

news056.jpg

マーケターの87%がサードパーティーCookie利用規制の影響を実感――イルグルム調査
広告主はWeb広告の効果においてCookieの利用規制の影響を感じているようです。

news122.jpg

2021年ホリデーシーズンにおける米国オンライン消費額、サプライチェーン危機にもかかわらず過去最大を更新
「Adobe Digital Economy Index」によると、米国の2021年のホリデーシーズンにおけるオン...

news014.jpg

「パーソナライゼーションエンジン」 売れ筋TOP10(2022年1月)
今週は、パーソナライゼーション製品の国内売れ筋TOP10を紹介します。