政府が見つけたソフトの弱点は、攻撃用に隠さず原則として作り手に知らせる

提言の詳細

この提言の対象は、情報機関や軍、警察を含む政府の機関が、自ら発見したり外部から購入したりした、まだ世の中に知られていないソフトウェアや機器の弱点です。こうした弱点は作り手もまだ気づいていないため、修正されるまでの間、攻撃に使うことができます。提言では、こうした弱点をすべて一つの窓口に登録し、独立した審査会が扱いを決めます。審査会には安全保障を担う部署だけでなく、民間のセキュリティ専門家、プライバシーや人権の専門家、経済や産業を担当する部署の人も加わり、一つの立場の利益だけで判断が決まらないようにします。判断の基本は開示で、多くの人が使う製品の弱点は原則として作り手に伝え、修正を促します。病院、水道、電力、通信など社会の土台を支える製品の弱点は、保留を認めません。例外として一時的に手元に残す場合は、理由と期限を記録し、期限が来たら改めて審査します。保留中の弱点が外部に漏れた、あるいは悪用されている兆しがある場合は、ただちに開示します。毎年、開示した件数と保留した件数を公表し、細かな内容は議会や独立した監察機関に秘密を守ったうえで報告します。弱点を売買する市場から買ったものも同じ手続きの対象とし、国どうしでも互いの運用を確かめ合う場を設けます。