Vulnerabilities Equities Process (VEP)とは？米政府によるゼロデイ脆弱性の管理体制

インターネット上のセキュリティにおいて、ソフトウェアの未知の欠陥であるゼロデイ脆弱性（修正プログラムが提供される前の脆弱性）の扱いは極めて重要です。米国政府は、こうした脆弱性を発見した際、「一般に公開してセキュリティを高めるか」、あるいは「国家安全保障のために秘密に保持し、攻撃的な手段として利用するか」を判断するための厳格な枠組みを設けています。これがVulnerabilities Equities Process (VEP)です。

このプロセスは2008年から2009年にかけて策定されましたが、長らく機密扱いとなっていました。2016年に電子フロンティア財団（EFF）による情報公開法（FOIA）に基づく請求を経て一部が公開され、さらに「シャドウ・ブローカーズ」事件による透明性への要求が高まったことを受け、2017年11月に詳細な運用プロセスが公表されました。

Key Facts

  • 目的： ゼロデイ脆弱性を「公開して防御を固めるか」か「秘匿して攻撃に使うか」を個別に判断する。
  • 意思決定機関： 複数の政府機関で構成される「Equities Review Board (ERB)」が中心となる。
  • 事務局： 国家安全保障局（NSA）がVEPの執行事務局を務める。
  • 判断基準： 普及率、依存度、深刻度などの客観的な指標に基づき、政府全体の利益を優先して決定する。
  • 国際的な例： イギリスでもGCHQ（政府通信本部）を中心に同様の「Equities Process」が運用されている。

意思決定を担う組織と参加機関

VEPの中核となるのは、Equities Review Board (ERB)と呼ばれる審査委員会です。ERBは通常、月に一度開催されますが、緊急時には随時招集されます。この委員会には、サイバーセキュリティや国家安全保障に関わる広範な政府機関の代表者が参加しています。

参加している主な機関は以下の通りです。

  • 管理予算局 (OMB)
  • 国家情報長官室 (ODNI) ※情報コミュニティ・セキュリティ調整センターを含む
  • 財務省、国務省、司法省 (FBIおよび国家サイバー捜査共同タスクフォースを含む)
  • 国土安全保障省 (DHS) ※国家サイバーセキュリティ・通信統合センターおよびシークレットサービスを含む
  • エネルギー省、商務省
  • 国防総省 (DoD) ※国家安全保障局 (NSA)、サイバー軍、DoDサイバー犯罪センターを含む
  • 中央情報局 (CIA)

脆弱性発見から決定までのフロー

脆弱性が発見されてから最終的な扱いが決まるまでには、段階的なプロセスが設定されています。

1. 報告と通知

ある政府機関が脆弱性を発見した場合、速やかにVEP事務局へ通知します。この報告には、脆弱性の詳細、影響を受ける製品やシステム、およびその情報を「公開すべきか」「制限すべきか」という報告機関の推奨案が含まれます。事務局は1営業日以内に、関係する全参加機関にこの情報を共有します。

2. 利害調整と協議

通知を受けた機関は、5営業日以内に推奨案への同意・不同意を回答します。意見が分かれた場合は、報告機関および事務局を交えて7営業日以内に協議を行い、合意形成を試みます。それでも合意に至らない場合は、ERBに判断を仰ぐための選択肢が提示されます。

3. 最終決定のプロセス

決定は、政府のミッションにおける相反する利益を考慮し、全体的な最善の利益に基づいて迅速に行われます。判断の際は、その脆弱性がどれだけ普及しているか、社会的な依存度は高いか、深刻度はどの程度かといった合理的かつ客観的な手法が用いられます。ERB内で合意が得られない場合は投票が行われ、異議申し立てがなければそれが最終決定となります。

4. 公開後の対応

公開が決定した場合、原則として7営業日以内に迅速に処理されます。通常、脆弱性に最も精通している報告機関がベンダーへの通知を担当します。また、ベンダーが適切に修正対応を行っているかを追跡し、対応が不十分な場合は政府が別の緩和策を講じることもあります。

VEPの概要まとめ

VEPの運用サイクルと役割
フェーズ 主なアクション 期限・基準
通知 発見機関から事務局へ報告 速やかに（事務局は1営業日以内に共有）
協議 参加機関による合意形成 5〜7営業日以内
決定 ERBによる公開・秘匿の判断 客観的指標（普及率・深刻度等）に基づく
実行 ベンダーへの通知と追跡 原則7営業日以内に公開

批判と課題

VEPは透明性を高めたとはいえ、依然として批判の声があります。具体的には、秘密保持契約（NDA）による制限が強いことや、リスク評価の基準が不透明であること、NSAに特別な権限が与えられていることなどが指摘されています。また、「原則として公開する」という姿勢が不十分であるという意見も根強くあります。

他国の事例：イギリスの取り組み

米国と同様の仕組みを導入しているのがイギリスです。特にGCHQ（政府通信本部）が中心となり、脆弱性を公開するか保持するかを決定する「Equities Process」を運用しています。2018年に詳細が公開され、2022年には捜査権限法（Investigatory Powers Act 2016）の改正により、捜査権限委員（Investigatory Powers Commissioner）による監督体制が整備されました。

Frequently Asked Questions

VEPの最大の目的は何ですか？

政府が発見したゼロデイ脆弱性を、一般公開して社会全体のサイバーセキュリティを向上させるべきか、あるいは機密として保持し、敵対勢力への対抗手段（攻撃的サイバー能力）として利用すべきかを、組織横断的に判断することです。

誰が最終的な決定を下すのですか？

主にEquities Review Board (ERB) が判断を下します。ERBは国防総省、CIA、司法省など、セキュリティと国家安全保障に関わる主要な政府機関の代表者で構成されています。

脆弱性の公開はどのように行われますか？

公開が決定すると、通常は脆弱性を発見した機関が責任を持って製品ベンダーに通知します。このプロセスは迅速に行われ、原則として決定から7営業日以内に行われることが推奨されています。

判断の基準となる要素は何ですか？

その脆弱性がどれだけ多くのシステムで利用されているか（普及率）、社会インフラなどでどの程度依存されているか（依存度）、そして悪用された際の影響がどれほど大きいか（深刻度）などの客観的な要因が考慮されます。

イギリスの制度と米国の制度に違いはありますか？

基本的なアプローチは似ていますが、イギリスでは2022年の法改正により、捜査権限委員による外部からの監督体制が組み込まれている点が特徴です。