クラウドセキュリティ団体CSAトップが語る「脆弱性公開の仕組み」に必要な2条件：クラウドサービスの脆弱性にCVEは必要か【第4回】

クラウドサービスの脆弱性が見えにくい現状を打破するため、セキュリティ専門家がクラウドサービスの脆弱性公開の枠組みを考案した。その要件とは何か。どのようなメリットをもたらすのか。

[Shaun Nichols，TechTarget]

　クラウドサービスの脆弱（ぜいじゃく）性が公になるプロセスには、さまざまな問題が残っている。それらの問題を是正するための取り組みが、脆弱性識別子「CVE」（Common Vulnerabilities and Exposures）の制度改革だ。クラウドセキュリティベンダーWizの研究チームは、セキュリティカンファレンス「Black Hat 2021」のセッションで、クラウドサービス向けのCVEの枠組みを提唱した。

　クラウドサービスでも不都合のない新たな脆弱性識別子「UVI」（Universal Vulnerability Identifier）策定の取り組みも始まっている。UVIは、迅速で利用しやすく、オープンソースソフトウェア（OSS）やクラウドサービスの脆弱性に関する特異な状況もカバーできる識別子を目指す。

併せて読みたいお薦め記事

脆弱性への向き合い方

• 脆弱性を探すバグハンターは、なぜAppleにうんざりするのか
• Exchange Server脆弱性問題で考える「なぜパッチの適用は進まないのか」

CSAトップが提唱する、クラウドサービスの脆弱性公開の仕組み

　脆弱性公開の仕組みを見直すことは、ベンダーとセキュリティ研究者の両方に満足感をもたらし得る。その結果、クラウドサービスの透明性や明白性が高まると考えられる。

　クラウドセキュリティ推進団体Cloud Security Alliance（CSA）のCEOであるジム・リービス氏が、クラウドサービスの脆弱性公開に必要だと考える仕組みの条件は以下の通りだ。

• 時間の流れに沿って、あらゆる人が編集可能な「Wiki」方式で拡張できること
• 信頼の置ける脆弱性識別子をオンデマンドで迅速に発行できること

　こうした仕組みがあれば、脆弱性のさらなる詳細が明らかになったときに脆弱性情報が充実する。CVEやセキュリティベンダー独自の脆弱性データベースと連携させることも可能になる。

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。