協調的脆弱性開示 (CVD).

発見者・影響を受けるベンダー、必要に応じて調整役が、脆弱性の公開時期について合意したうえで開示を行うプロセス。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

発見者・影響を受けるベンダー、必要に応じて調整役が、脆弱性の公開時期について合意したうえで開示を行うプロセス。

協調的脆弱性開示(CVD、通称「責任ある開示」)は、研究者による脆弱性報告とベンダーの対応プロセスを体系化する枠組みです。一般的な流れは、セキュリティ窓口への非公開報告、受理とトリアージ、修正期限の合意(通常 60〜90 日)、パッチのリリース、その後に CVE 番号付きの公開アドバイザリと発見者へのクレジット表記です。コミュニケーションが難しい場合、各国 CERT、CISA、HackerOne などのプラットフォームが中立の調整役を担うこともあります。フルディスクロージャーに比べて、防御側のリスク露出期間を短縮しつつ修正動機を維持できます。実効性のある運用には、公開されたセキュリティ窓口、明確なポリシー、セーフハーバー条項、現実的な SLA が不可欠です。

協調的脆弱性開示 (CVD) に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: CVD, 責任ある開示。