Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response
Team Coordination Center, cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2010.06.24 11:02:09 +09'00'

プレスリリース2010 年 6 月 24 日
一般社団法人 JPCERT コーディネーションセンター

JPCERT/CC、国内初の CNA (CVE Numbering Authority)に認定～第三者調整機関としては米国 CERT/CC に次いで 2 組織め～一般社団法人 JPCERT コーディネーションセンター(東京都千代田区、代表理事 歌代 和正、
以下「JPCERT/CC」といいます。)は、CVE(Common Vulnerabilities and Exposures)*1 を管理運営する米国 MITRE 社が 2010 年 6 月 23 日付け*2 で JPCERT/CC を CNA(CVE NumberingAuthority, CVE 採番機関)*3 に認定したと発表しました。
JPCERT/CC は、CNA に認定されたことにより、国内のパートナーシップや海外から報告された脆弱性関連情報に自らの判断で CVE 番号を付与できるようになります。情報セキュ
リティ早期警戒パートナーシップの運用においては、これまでも個々の脆弱性ごとにMITRE 社に対して採番依頼を行い、CVE に準拠した脆弱性情報の開示を行ってきましたが、JPCERT/CC が CNA になったことにより、より一貫した CVE との整合性が確保されることになります。
「CVE 番号」は、多数の情報公開サイト等において、それぞれ独自の識別子によって公開される脆弱性情報の同一性を確認するための判断材料として、世界各国の製品開発企業、セキュリティ関連企業、調整機関や研究者等に広く利用されています。脆弱性情報を公開する際に CVE 番号を表示することにより、脆弱性情報の収集を行っているシステム管理者やユーザーが、脆弱性情報の同一性の判断をより容易に行うことができるようになり、迅速な判断や対応への一助となります。
今般の CNA 認定は、世界の脆弱性関連情報流通の枠組みにおいて、代表的な調整機関として重要な役割を担う JPCERT/CC の機能と実績が認められたことによるものです。
JPCERT/CC では、脆弱性関連情報の調整機関として、情報セキュリティ早期警戒パートナーシップのより効果的、効率的な運用を実現すべく、手続き等の改善に向けた努力を継続して参ります。
また、JPCERT/CC および独立行政法人情報処理推進機構 (IPA)は、両組織が共同で運用している脆弱性情報ポータルサイト JVN (Japan Vulnerability Notes)について昨年(2009 年)1月に、CVE 互換宣言(Declaration of CVE Compatibility)を行い、約 1 年の審査期間を経て 2010

年 1 月に CVE 互換*4 として認定されたことを受け、6 月 24 日より JVN において、CVE 互換ロゴの掲示をいたします。

*1: Common Vulnerabilities and Exposures(CVE)
CVE とは、米国 MITRE 社が管理運営を行っている、一般公表されている公知の脆弱性情報を掲載している脆弱性情報辞書(データベース)です。CVE は世界各国の製品開発企業、セキュリティ関連企業、調整機関等が広く利用しています。
「CVE 番号」は、このデータベースに収録された脆弱性情報を一意に識別するために割り当てられる番号です。

Common Vulnerabilities and Exposures
https://cve.mitre.org/
CVE に関する詳細は、米国 MITRE 社が提供する以下の Web ページをご確認ください。
CVE List Main Page
https://cve.mitre.org/cve/index.html
About CVE
https://cve.mitre.org/about/index.html*2:米国 MITRE 社 News & Events June 23, 2010：“JPCERT/CC Becomes CVE Numbering Authority”
https://cve.mitre.org/news/index.html*3:CNA(CVE Numbering Authorities)：
CVE 番号の採番を受ける方法は 2 種類あります。1 つは「報告者」として新規脆弱性毎に MITRE 社に申請する報告形式による方法です。2 つめは CNA として MITRE 社の認定を受けた機関が、必要な確認の後、MITRE 社より予め配分されている CVE 番号群(CVENumber Blocks)から採番する方法です。
JPCERT/CC の他に CVE 番号の採番活動を行っている組織としては、Third PartyCoordinator(第三者調整機関)としては米国 CERT/CC、Software Vendors(製品開発者)としては Adobe 社,Apple 社, Cisco Systems 社, Hewlett Packard 社,Microsoft 社, Oracle 社,等といった大手製品開発者など、研究機関としては Core Security Technologies 社,
Secunia 社があり、それぞれ認定を受け、独自採番を行っています。

CVE Numbering Authority の詳細につきましては、米国 MITRE 社が提供する以下の Webペーをご参照ください

CVE Numbering Authorities
https://cve.mitre.org/cve/cna.html*4:CVE 互換(CVE Compatibility)
CVE には、脆弱性対策情報提供サービスや Web ページ等が、CVE 番号の正確な表示、適切な関連付け、CVE 番号による情報の検索などの一定の特定条件を満たした上で米国
MITRE 社へ申請すると、CVE 互換認定を受けることができる「CVE 互換認定(CVECompatibility)」という制度があります。
CVE 互換認定に関する詳細につきましては、米国 MITRE 社発行のプレスリリース等以下の Web ページをご参照ください。
News and Events January 8, 2010
“Three Products and Services from Two Organizations now registered as Officially
CVE-Compatible”
http://www.cve.mitre.org/news/index.html#jan082010a
CVE-Compatible Products and Services
https://cve.mitre.org/compatible/compatible.html#j■CVE Numbering Authority 認定に至る経緯：
JPCERT/CC は、2008 年 5 月 21 日に JVN 英語版サイトの運用を開始し、それに伴い報告者として 2 年間 CVE 番号採番活動を推進してまいりました。またその間、JPCERT/CC はMITRE 社と CNA 認定に向けての協議、調整等を行い、CNA の認定を受けるための準備を行ってまいりました。2010 年 3 月末時点で、JVN 英語版サイトにおける CVE 付与率も約 9割となり、2010 年 1 月には JVN(JVN, JVNiPedia, MyJVN)は CVE 互換(CVE Compatibility)
認定も受け、日本発の脆弱性情報を世界へ発信する脆弱性情報ポータルサイトとなるべく、着実に実績を積んでまいりました。その結果、この度 JPCERT/CC は CNA として認定されました。