グーグルのProject Zero、パッチ適用を促すため30日間の猶予期間を新設

Chris Duckett (ZDNet.com.au) 翻訳校正: 編集部

2021-04-19 12:55

 Googleのセキュリティチーム「Project Zero」は、脆弱性情報の開示ポリシーに関して、これまではベンダーへの通知から90日後に必ず技術情報の詳細を開示する方針を取ってきたが、ユーザーにパッチを適用する余裕を与えるため、詳細情報の開示までに30日間の猶予期間を設ける新しいモデルに移行する。

security
提供:Getty Images

 Project Zeroの新しいモデルでは、パッチが90日以内に公開されなかった脆弱性に関して90日後に詳細情報を開示するポリシーは変わらないが、パッチが90日以内に公開された場合には、技術的詳細の開示はパッチの公開時から30日後になる。

 また、既に実際の攻撃で利用されている脆弱性に関しては、ベンダーへの通知から1週間以内にパッチが公開されない場合、1週間後に技術的な詳細が開示されるが、パッチが通知後7日以内に公開された場合は、詳細情報は30日後に開示される。また、既に攻撃が行われている場合も、ベンダーがパッチ公開までに3日間の猶予を求めることができるようになった。

 Project Zeroがベンダーにパッチ公開までの猶予期間(悪用されていない場合は従来通り最大2週間、悪用されている場合は最大3日間)を認めた場合、その期間は技術的な詳細情報が開示されるまでの30日間の猶予の一部を食い潰すことになる。

 Project Zeroは2020年に、情報の開示までに必ず90日間の猶予を与えるという新しいポリシーを導入した。

 この変更にはユーザーのパッチ適用率を向上させる目的があったが、この目的は達成されたとは言い難かった。

 Project ZeroのマネージャーTim Willis氏は、「その背景にあった考え方は、もしベンダーが、ユーザーがパッチをインストールするための時間を長く取りたければ、90日の猶予期間のなるべく早い時期にパッチを公開することを優先するだろうというものだった」と述べている。

 「しかし実際には、パッチ開発のスケジュールには大きな変化は起こらず、私たちは今まで通り、ベンダーから多くのユーザーがパッチを適用していない状態で脆弱性やエクスプロイトに関する技術的詳細を開示することを懸念するフィードバックを受け取り続けた。つまり、パッチの導入を促進するために設けられたタイムラインであるという意図が明確に伝わっていなかったということだ」(Willis氏)

 Willis氏は、将来的には今回のシステムで定めた90日+30日の期間を短縮していく予定だが、まずはベンダーが現時点で対応可能な期限から始める必要があったと説明した。

 同氏はまた、「私たちが持っている脆弱性のパッチ公開までの時間を追跡したデータによれば、2022年には『84+28』モデル(期限を7で割れる数字にすることで、期限の最終日が意図せずに週末に掛かってしまうことを避けられる)に移行できる可能性が高い」とも述べている。

この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    ChatGPTに関連する詐欺が大幅に増加、パロアルトの調査結果に見るマルウェアの現状

  2. セキュリティ

    迫るISMS新規格への移行期限--ISO/IEC27001改訂の意味と求められる対応策とは

  3. セキュリティ

    警察把握分だけで年間4000件発生、IPA10大脅威の常連「標的型攻撃」を正しく知る用語集

  4. セキュリティ

    いま製造業がランサムウェアに狙われている!その被害の実態と実施すべき対策について知る

  5. セキュリティ

    VPNの欠点を理解し、ハイブリッドインフラを支えるゼロトラストの有効性を確認する

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]