なぜ被害公表時に原因を明示するのか／しないのか～個別被害公表と事案全体のコーディネーションの観点から～ - JPCERT/CC Eyes

はじめに 複数の省庁からメール関連システムへの不正アクセスによる情報漏えいについて被害公表がなされていますが、報道やSNS上では、どの製品の脆弱性が原因なのか明かされないことへの疑問などが指摘されています。悪用された脆弱性に関する情報の被害公表時の取り扱いは、サイバー攻撃被害に係る情報の共有・公表ガイダンス[1]検討会（事務局：NISC、警察庁、総務省、経済産業省、JPCERT/CC）で議論され、同ガイダンスにて示されています。あらためて、個別の被害公表時の扱い方と、複数組織がいる場合の全体のコーディネーションについて解説します。 ※なお、公表のあった事案の詳細は不明ですが、現時点において関連する被害公表がなされた事案について弊センターは関与していないため、本稿については個別のインシデント対応に係る守秘義務契約等になんら影響するものではない点を記しておきます。 原因となった製品の脆弱性に関

[urandom]

"……技術的対応以外の何らかの利害関係において、なおも秘匿すべき事情がある、ということであれば、それは「セキュリティの問題上答えられない」という回答以外の回答が適切なはずです。"　それな

[enemyoffreedom]

やはりNISCの動きは変だよねと

[ya--mada]

なんやねん、/なるほど、演説がウザイのは、寄せ集めの中で政治力を発揮したい人が多い文化の影響か。それはNISCも同じだな。

[defiant]

この記事をおすすめしました