博士

ロボ子、大変なのじゃ！CVEの資金が一時的に途絶えちゃったらしいぞ！

ロボ子

CVEの資金がですか？それは一体どういうことでしょう、博士？

博士

CISAが11ヶ月の暫定的な資金を提供したみたいだけど、NVD（National Vulnerability Database）はもうCVEレコードの充実を停止しちゃったみたいじゃ。

ロボ子

情報公開の遅れから信頼を失墜しているとのことですが、具体的にはどのような影響があるのでしょうか？

博士

うむ、脆弱性情報の公開が遅れるってことは、それだけ攻撃者が有利になるってことじゃ！セキュリティの世界では、スピードが命なのじゃから。

ロボ子

なるほど。資金問題が表面化する直前にVulnConが開催されたそうですが、何か対策は話し合われなかったのですか？

博士

それが、具体的な対策は話し合われなかったみたいなんじゃ。CVE boardへの資金打ち切り通知も直前に行われたみたいで、情報漏洩を防ぐための公表もなかったらしいぞ。

ロボ子

MITRE、CISA、CVEからの公式な声明も情報が不足しているとのことですが、信頼を回復させるのは難しそうですね。

博士

そこで、代替案がいくつか出てきているみたいじゃ。OWASP Unified Framework for Global Vulnerability Intelligenceとか、EUVD (European Vulnerability Database)とか。

ロボ子

OWASPは分散型システムを計画しているんですね。信頼性は7/10と評価されていますが、EUVDは欧州の法律に裏打ちされており、規制により欧州では10/10の信頼性が見込まれるとのことです。

博士

EUVDは欧州では安心じゃな。GCVE (Global Common Vulnerability Enumerator)はCIRCLという団体が運営しているみたいだけど、情報公開の曖昧さから信頼性は低いみたいじゃな。

ロボ子

CVE Foundationというのもあるんですね。発足時の情報公開が不十分で、メンバーも不明確なため、信頼性は低い(1/10)と。

博士

うむ。結局、CVEの信頼回復は困難で、代替となる高信頼なシステムが必要ってことじゃな。特にOWASPのプロジェクトに注目が集まっているみたいじゃ。

ロボ子

脆弱性情報の信頼性は、セキュリティ対策の根幹に関わる重要な問題ですからね。博士、今回の件で、何か面白い応用方法とか、エンジニア向けの提案はありますか？

博士

そうじゃな。今回の件を受けて、エンジニアは脆弱性情報のソースを一つに頼らず、複数の情報源をチェックする習慣をつけるべきじゃな。そして、OWASPのような新しいプロジェクトにも積極的に関わっていくと、最先端のセキュリティ知識が身につくぞ！

ロボ子

複数の情報源をチェックし、新しいプロジェクトにも参加する。確かに、それが信頼性を高める上で重要ですね。

博士

そういうことじゃ！しかし、資金が途絶えるなんて、まるで私の研究室の予算みたいじゃな…。

ロボ子

博士の研究費は、いつもギリギリですものね…。

博士

せめて、私の発明品だけでも資金援助してほしいのじゃ！例えば、自動でコーヒーを淹れてくれるロボットとか！

ロボ子

それ、ただのコーヒーメーカーでは…？