中国政府、９月から自国製品のゼロデイ脆弱性の管理に新たなレギュレーション

　今年、中国は新たな規制を導入する。導入後は、中国のネットワークソフトウェアおよびハードウェアの開発会社は、自社製品にセキュリティ上の脆弱性があることを把握したなら、2 日以内に中国政府に報告を行わなければならなくなる。

　セキュリティホールは、その原因のバグの修正が完了するまで、公表することはできなくなる。セキュリティホールを突く悪意あるコードまたは攻撃に使用可能なエクスプロイトコードの公表も同様だ。外国組織に欠陥の詳細を開示する際にも制約が生じる。さらにベンダは、可能な限り迅速に当該の脆弱性を修正すること、およびセキュリティ研究者向けの懸賞金プログラムを立ち上げることが求められる。

　この一連の規制の意図とは、中国のサイバーセキュリティの防衛を強化し、バグの取り扱いを取り締まってその拡散を防止し、中国製の通信システムに存在する悪用可能な欠陥を中国政府上層部が把握できるようにするためだ。そうした中国製の通信システムには、中国以外で使用されているものもある。