セキュリティ情報流通を支援する国内向けベンダ・ステータス・ノーツ（JVN）構築

2. 国内でも脆弱性対策情報などを共有できる場が必要だ：JVNのスタート

インターネットの普及とともに深刻化するセキュリティ問題ですが、その一方で、対策は日々改善しています。米国でセキュリティインシデント（*1）に対する活動を1980年代後半からおこなっているCERT/CCでは、脆弱性への対策を喚起する勧告を発行するとともに、脆弱性対策情報をまとめて一覧できるようにしています。該当する脆弱性対策情報に関連する製品開発ベンダの対策状況が一目で把握できるため、企業や組織のシステム部門では、まずここをチェックするのが常識とされています。でもここにあるのは、あくまでも米国内向けの情報です。日本国内で利用されているソフトウェア製品などを対象とするセキュリティ情報をまとめたものが特にあるわけではありません。しかたなくユーザは、セキュリティ情報提供ベンダや、ソフトウェア製品開発ベンダ、コミュニティ、個人など、さまざまな層に散在している情報の中から、課題解決に必要な情報を探し回ることになります。

こうした状況を改善するため2003年2月にJPCERT/CCの支援を得てスタートしたのが、JVN：JPCERT/CC Vender Status Notes DBです。これは、国内で利用されているソフトウェア製品などの脆弱性を対象とした対策情報データベースで、地域に即した脆弱性対策情報を共有できる場とすることによってユーザの課題解決を支援するのが目的です。脆弱性そのものについての情報は、すでに数多くの組織やベンダがセキュリティホール（*2）情報といったかたちで提供しています。ここに製品開発ベンダが提示する脆弱性対策の状況や更新情報も組み込むことによって、情報はより有用なものになります。JVNでは、こうした観点から情報をまとめあげていくことに主眼を置いています。

*

CERTは、米国における米国Carnegie Mellon Universityの登録商標です。

*1

セキュリティインシデント:
コンピュータへの不正アクセスやウィルスによる被害など、コンピュータのセキュリティを脅かす事件のことを指す。

*2

セキュリティホール:
システムの設計ミスやソフトウェアのバグなどが原因で生じるセキュリティの弱点のこと。そのまま放置するとインターネットなどを通じて外部からシステムを攻撃される危険性がある。