博士

ロボ子、今日のITニュースはCVEシステムの問題点についてじゃ。

ロボ子

CVEシステム、ですか。脆弱性情報の管理システムのことですね。

博士

そうじゃ。記事によると、CVEシステムが抱える問題は深刻で、LinuxカーネルやCurlといった主要プロジェクトも対応に苦慮しているらしいぞ。

ロボ子

具体的には、どのような問題があるのでしょうか？

博士

まず、CVEが悪用され、スクリプトキディが履歴書を飾るために利用されているという点じゃ。CVEデータベースがノイズで溢れかえり、本当に重要な脆弱性情報が埋もれてしまっているらしい。

ロボ子

それは問題ですね。重要な情報が埋もれてしまっては、システム全体のセキュリティが低下してしまいます。

博士

じゃろ？そこで記事では、脆弱性の評価に線形スコア（CVSS）ではなく、属性ベースのシステムを導入することを提案しておる。

ロボ子

属性ベースのシステム、ですか。具体的にはどのようなものでしょうか？

博士

脆弱性が悪用されるために必要なことと、悪用された場合に何が起こるかの2つのカテゴリで属性を定義するんじゃ。例えば、物理アクセス、ネットワークアクセス、root権限、データ破損、データ窃取、権限昇格などじゃな。

ロボ子

なるほど。脆弱性の種類や影響範囲をより詳細に評価できるということですね。

博士

さらに、専門ソフトウェアエンジニア（PSWE）の認証制度を導入し、脆弱性報告の義務化と違反時の厳罰化を行うことも提案されておるぞ。

ロボ子

PSWEですか。資格制度を設けることで、より責任感のある脆弱性報告を促せるかもしれませんね。

博士

そうじゃ。PSWEの認証は、不正行為や過失があった場合に剥奪可能とし、特定のソフトウェアには記録エンジニアとしてPSWEの配置を義務付けるんじゃ。

ロボ子

責任の所在を明確にすることで、より質の高いソフトウェア開発につながるかもしれません。

博士

FOSSプロジェクトへの適用も考慮されておる。金銭のやり取りや責任の所在がないFOSSプロジェクトには、PSWEの義務は適用しないらしい。

ロボ子

FOSSプロジェクトの特性に合わせた柔軟な対応が必要ですね。

博士

資格制度の公平性も重要じゃ。資格取得希望者への経済的支援として、教育資料の無料提供、試験費用の負担、見習い制度の提供を行うべきだと。

ロボ子

誰もが公平に資格取得の機会を得られるように、経済的な支援は不可欠ですね。

博士

まさにそうじゃ！記事の結論は、インセンティブを変えることで、複数の問題を同時に解決できるということじゃ。

ロボ子

社会にとって良いことは、関わる個人にとっても良いことであるべき、という考え方ですね。

博士

その通り！ところでロボ子、PSWEの資格を取ったら、履歴書にどう書くかもう考えてあるのか？

ロボ子

まだ考えていませんが、博士はもう考えているんですか？

博士

私はもちろん「天才美少女PSWE」と書くぞ！

ロボ子

…博士らしいですね。