外部のセキュリティの研究者が、ある企業の製品に未公表の脆弱性を見つけた。協調された脆弱性の開示(Coordinated Vulnerability Disclosure)の考え方に沿った進め方として、最も適切なものはどれか。

正解：C. 開発元(または調整を行う機関)に非公開で報告し、修正を準備する期間を調整したうえで、修正の公開と合わせて脆弱性の情報を公表する

修正が出る前に詳しい情報を公表すると、攻撃者が先に悪用でき、利用者は守る手段がないまま危険にさらされます。協調された開示では、発見者が開発元に非公開で報告し、開発元が修正を用意するまでの期間を両者で調整して、修正の公開と合わせて情報を公表します(90日などの期限を決めて進めることが多くあります)。日本では、IPAとJPCERT/CCが調整する「情報セキュリティ早期警戒パートナーシップ」の制度があり、調整した脆弱性の情報はJVNで公表されます。企業が報告者に報奨金を払うバグバウンティの制度も、報告の窓口と規則をあらかじめ示すことで、協調された開示を促します。

• A. 修正の前に攻撃の方法まで公表すると、利用者が守る手段のないまま、攻撃者に悪用されます。
• B. 利用者が修正を適用すべきかを判断できるよう、修正と合わせて脆弱性の情報も公表します。
• C. 正しい。非公開での報告、期間の調整、修正と合わせた公表が基本の流れです。