ホーム
情報セキュリティ, 脆弱性対応
英米オランダ日本協調された脆弱性開示プログラムの構築

英米オランダ日本協調された脆弱性開示プログラムの構築

米国・英国・オランダ・日本の各セキュリティ担当部門が協同で「セキュリティ調査者と共働する協調された脆弱性開示プログラムの構築」というガイダンスがでています(2026年7月15日)(CISAのリンク)。

丸山さんの「米国英国蘭国日本セキュリティ研究者と連携するための調整型脆弱性開示プログラムの確立 (2026.07.15)」というブログはこちら。公表としては、米国・英国・オランダ・日本の共同ではありますが、米国以外では、このガイダンスが公表されているのは、目にしていません。

1 内容

内容としては

序
CVDプログラムの開発
1. 脆弱性開示ポリシーの作成と公表
  1. CISAのセキュア・バイ・デザインイニシアチブ
  2. 確約から、消費者セキュリティの結果を明らかにする
  3. 公表する
  4. セキュリティテストのためにできるだけ広範なスコープを設定する
  5. 禁止される行為を明らかにする
  6. 報告の最小限の要求事項を特定する
  7. 脆弱性の報告方法を明確に定義する
  8. 善意の努力を示す研究者へのセーフハーバーの提供
  9. 脆弱性情報の共有に関する明確な期待の設定(Set Clear Sharing Expectations for Vulnerability Information）
  10. 報告された脆弱性の修正・開示に関する合理的な期間の設定(Establish Reasonable Time Frames for Remediation and Disclosure of Reported Vulnerabilities）
  11. 脆弱性アドバイザリの公表プロセスの明示(Clearly Describe the Publication Process for Vulnerability Advisories）
2. CVD IDのためのプロセスを定義する
  1. セキュリティ調査者のアウトリーチ
  2. 法腐れた脆弱性のトリアージと評価
  3. 報告された脆弱性の修正の開発
  4. CVD IDの割当と記録の公表
  5. CVE記録の完全性・正確性・適時性の確保
  6. 利用者への伝達
  7. 脆弱性の詳細のリリース
  8. CVDプログラムのレビューとアップデート
CVDプログラムの代替/補完として中間者の活用(leverage)する
結論

となっています。

Guidance at a Glance ／要約表（原文 p.2）

セキュリティ研究者と協働するための協調的脆弱性開示プログラムの構築

Establishing a Coordinated Vulnerability Disclosure Program to Work With Security Researchers

CISA | NSA | JPCERT/CC | NCSC-NL | NCSC-UK

Guidance at a Glance
表題Title	セキュリティ研究者と協働するための協調的脆弱性開示プログラムの構築 Establishing a Coordinated Vulnerability Disclosure Program to Work With Security Researchers
初版公表Original Publication	2026年7月15日July 15, 2026
エグゼクティブサマリーExecutive Summary	本ガイダンスは、脆弱性の報告と修正についてセキュリティ研究者と実効的かつ透明性をもって協働するための協調的脆弱性開示（CVD）プログラムを、供給者が設計・実装する際のベストプラクティスを示すもの。
主要アクションKey Actions	脆弱性の報告方法についてセキュリティ研究者に指針を与える脆弱性開示ポリシー（VDP）を作成・公表する^［注1］製品に影響する報告済み脆弱性について、トリアージ・修正・CVE（共通脆弱性識別子）の付与に関するプロセスを定義し、脆弱性が迅速かつ適切に処理されることを確保する仲介者（各国のCSIRT等）を活用し、既存のCVDプログラムを代替または補完して、研究者との調整を実効的に支える
想定読者Intended Audience	組織ソフトウェア製造者、オンラインサービス提供者^［注2］職務役割 ─ NICEフレームワークサイバーセキュリティ政策立案担当、プログラムマネージャー、脆弱性アナリスト、セキュアソフトウェア開発者職務役割 ─ その他 PSIRT（製品セキュリティインシデント対応チーム）マネージャー、PSIRTアナリスト、CVDマネージャー

注記

01原文脚注1。VDPの策定・維持に関する期待水準は、オープンソースソフトウェアのメンテナーについては異なる旨を執筆機関が認めている。サプライチェーン契約でOSS由来コンポーネントの脆弱性対応義務を上流に転嫁する条項を設計する際、交渉上の論拠となり得る。
02原文脚注2。「supplier」の定義はCVE Program用語集に依拠し、製品を開発・保守・提供する主体であって、脆弱性報告を調査し修正・緩和策を開発する責任と能力を通常有する者とされる。EU CRA上の「製造者」やNIS2上の対象主体とは概念の切り分けが異なるため、複数法域にまたがるVDP設計では用語の対応関係を明示的に整理する必要がある。
03日本語訳は参照用の私訳であり、正文は英語原文による。