完全な情報開示（コンピュータセキュリティ）

協調的脆弱性開示とは、研究者が脆弱性を調整機関に報告することに同意する方針であり、調整機関はそれをベンダーに報告し、修正と緩和策を追跡し、一般市民を含む利害関係者と情報の開示を調整する。^{[ 7 ] [ 8 ]}場合によっては、調整機関はベンダーである。協調的開示の前提は、通常、ソフトウェアベンダーが時期が来たと言うまで、誰も脆弱性について知らされるべきではないということである。^{[ 9 ] [ 10 ]} この方針には例外やバリエーションがあることが多いが、配布は最初は制限されなければならず、ベンダーには非公開の研究への特権的なアクセス権が与えられる。^{[ 11 ]}

このアプローチの元の名前は、Microsoft セキュリティ マネージャーの Scott Culp 氏のエッセイ「情報無秩序を終わらせる時が来た」^{[ 12 ]}（完全な情報開示を指している）に基づく「責任ある開示」でした。Microsoft は後に、この用語を段階的に廃止し、「協調的脆弱性開示」（CVD）に置き換えるよう求めました。^{[ 13 ] [ 14 ]}

理由は様々だが、多くの実務家は、エンドユーザーはベンダーからのガイダンスやパッチなしに脆弱性情報にアクセスしてもメリットが得られないため、悪意のある攻撃者と研究を共有するリスクは、得られるメリットに比べて大きすぎると主張している。マイクロソフトが説明するように、「協調的な情報開示」は、顧客がセキュリティ脆弱性に対する包括的で質の高いアップデートを受け取れるようにしつつ、アップデートの開発中に悪意のある攻撃にさらされないようにすることで、すべての人にとって最善の利益となる。^{[ 14 ]}

ベンダーが情報公開を無期限に遅らせることを防ぐため、セキュリティ業界では、Googleが先駆けて行った一般的な慣行として、脆弱性の詳細を期限後に公開するという方法がある。^{[ 15 ]}通常、期限は90日または120日だが、脆弱性が実際に悪用されている場合は7日に短縮される。^{[ 16 ] [ 17 ]}

完全開示とは、脆弱性に関する情報を制限なくできるだけ早く公開し、一般の人々が制限なくアクセスできるようにする方針である。一般的に、完全開示の支持者は、脆弱性研究を自由に利用できることのメリットはリスクを上回ると考えている一方、反対者は情報の公開を制限することを好む。

脆弱性情報が無料で入手できることで、ユーザーや管理者はシステム内の脆弱性を理解し、対応できるようになり、顧客はベンダーに対し、そうでなければ解決するインセンティブを感じないような脆弱性を修正するよう圧力をかけることができる。しかし、協調的な情報開示には、完全な情報開示によって解決できる根本的な問題がいくつか存在する。

• 顧客が脆弱性を知らなければ、パッチを要求することはできず、ベンダーは脆弱性を修正する経済的なインセンティブを得られない。
• 脆弱性に関する情報が制限されているため、管理者はシステムのリスクについて十分な情報に基づいた意思決定を行うことができない。
• この脆弱性を知っている悪意のある研究者は、長期間にわたってこの脆弱性を悪用し続けることができる。

特定の欠陥や脆弱性の発見は、必ずしも排他的な出来事ではなく、異なる動機を持つ複数の研究者が独立して同じ欠陥を発見することもあり得るし、実際にそうしている。

脆弱性情報を一般に公開するための標準的な方法は存在しないため、研究者はしばしば、そのテーマに特化したメーリングリスト、学術論文、または業界会議などを利用している。

非開示とは、脆弱性に関する情報を共有してはならない、あるいは（契約上または非公式に）秘密保持契約の下でのみ共有すべきであるという方針である。

非開示の一般的な支持者には、商用エクスプロイトベンダー、発見した欠陥を悪用しようとする研究者^{[ 5 ]} 、およびセキュリティ・バイ・オブスキュリティの支持者などが含まれます。

2009年、チャーリー・ミラー、ディノ・ダイ・ゾヴィ、アレクサンダー・ソティロフはCanSecWestカンファレンスで「No More Free Bugs」キャンペーンを発表し、企業がセキュリティ研究者にバグの開示に対する報酬を支払わないことで利益を上げ、彼らを搾取していると主張した。^{[ 18 ]}この発表はニュースになり、この問題とその関連するインセンティブについてのより広範な議論が始まった。^{[ 19 ] [ 20 ]}