NATOのサイバー防衛部門と、人工知能を使ってソフトウェアの欠陥を発見するスタートアップ企業が、業界で欠陥の追跡に使われているID番号を発行できるようになったと、欧州連合サイバーセキュリティ機関(ENISA)が先週発表しました。
NATO通信情報局の一部門であるNATOサイバーセキュリティセンターと、サンフランシスコとプラハに拠点を置くサイバーセキュリティ企業AISLEが、ENISAルート傘下のCVE採番機関として加わりました。CVEプログラムは、公表されたセキュリティ上の欠陥それぞれに一意の記録を割り当てるもので、政府・ベンダー・研究者が特定の脆弱性を指す際に共通の目印として利用できます。
現在、ENISAルート傘下には20の採番機関があり、うち12機関はENISA自身が新規に迎え入れたもの、残る8機関はこのプログラムの日常業務を20年以上にわたって担ってきた米国の非営利団体MITREが運営するMITREルートから移管されたものです。
ENISAのサイバーセキュリティ・オペレーション最高責任者ハンス・デ・フリース氏は、この拡大を脆弱性発見の手法の変化と結び付けて説明しています。
同氏は声明で「世界的なサイバーセキュリティ情勢における最近の動向に加え、フロンティアAIモデルの台頭とそれが脆弱性の発見・悪用に及ぼす影響により、強固な脆弱性管理インフラと対応能力を構築する必要性が浮き彫りになっています」と述べています。また、ENISAの役割は「より世界的に代表性があり、強靭で、拡張性のある脆弱性識別エコシステム」の構築に資すると説明しました。
新たに加わった2機関は、採番機関ごとにその権限の範囲がいかに独自であるかを示す好例です。NATOサイバーセキュリティセンターは今後、NATO全体において対象となる欠陥にCVE IDを割り当てられるようになります。同機関によれば、これにより追跡の一貫性が高まり、信頼できるパートナーとの情報共有もより迅速に行えるようになるといいます。同センターはNATOのネットワークを防護し、脅威を監視し、インシデント発生時の対応を統括する役割を担っています。
一方、AISLEに与えられた権限はより限定的です。同社は7月のプレスリリースで、今回の指定は自社製品において発見された脆弱性を対象としており、第三者機関による処理を待たずに識別子を公表できるようになると説明しています。
同社共同創業者のジャヤ・バルー氏は、この措置を「基盤となるもの」と表現し、協調的な脆弱性開示は「自社製品に対して他社に求めるのと同じ基準を課すことから始まる」と述べました。この指定とは別に、同社の研究者らはOpenSSL、Linux、Apache、OpenEMRなど広く利用されているオープンソースソフトウェアにおいて、これまでに数百件の脆弱性を発見・開示しており、それぞれ該当プロジェクトの担当機関を通じて調整が行われてきたとしています。
今回の変更は、CVEプロセスがプログラムをめぐる混乱と、AIシステムによって次々と発見される脆弱性の急増の渦中にあるさなかに行われたものです。
CISAが運営するCVEプログラムは、2025年4月に土壇場で11か月間の契約延長が決まったことで、突然の終了をかろうじて回避しました。それ以降、脆弱性の追跡・開示、そして最終的なパッチ適用に至るまでの連携をより良くするため、欧州の非営利団体をはじめとする民間団体による複数の競合データベースが立ち上げられてきました。
今年に入り、ルクセンブルクのコンピュータインシデント対応センター(CIRCL)は、CVEプログラムの代替として、Global CVE Allocation System、通称GCVEを立ち上げました。
翻訳元: https://cyberscoop.com/nato-aisle-enisa-cve-vulnerability-tracking/
