政府機関が見つけたソフトの弱点は、攻撃用に隠さず、原則として作り手に知らせる

提言の詳細

対象は、情報機関や軍、警察などの公的機関が自ら見つけたり、外部の業者から買い取ったりした、まだ世の中に知られていないソフトウェアや機器の弱点です。こうした弱点は、作り手もまだ気づいておらず修正もされていないため、悪用されると防ぎようがありません。提言では、機関が弱点を手にした時点で記録し、独立した審査会に届け出ることを義務にします。審査会には安全保障の担当者だけでなく、技術者、経済や医療を所管する部門、人権の専門家などを加え、一つの機関の都合だけで決まらないようにします。判断の基本は作り手への通知で、隠しておくことを認めるのは、具体的で差し迫った必要があり、ほかに手段がない場合に限ります。認める場合も、たとえば数か月といった短い期限をつけ、延長のたびに審査をやり直します。病院の機器や水道、電力の制御、世界中で広く使われる基本ソフトなど、悪用されたときの被害が大きいものは、原則として例外を認めません。業者から弱点を買う契約にもこの規則を当てはめ、作り手への通知を禁じる独占契約は結べないようにします。作り手が通知を受けても修正しない場合は、一定期間ののちに注意情報を公表できます。毎年の報告では、件数や分野、保持した期間などをまとめて公表し、個別の中身は修正が済んでから明らかにします。