脆弱性エクイティプロセス

機関が脆弱性を発見した場合、可能な限り速やかにVEP事務局に通知するものとします。通知には、脆弱性の内容、脆弱性の影響を受ける製品またはシステムの説明、および脆弱性情報の公開または制限に関する機関の推奨事項が含まれます。

事務局はその後、1営業日以内にすべての参加者に提出内容を通知し、関連する関心がある場合は回答するよう求めます。^{[ 4 ]}

関心を示した機関は、5営業日以内に、当初の勧告に従って情報を公開するか制限するかを表明しなければならない。同意し​​ない場合は、7営業日以内に提出機関およびVEP事務局と協議を行い、合意形成を図る。合意に至らない場合は、参加者は公平性審査委員会に選択肢を提案する。^{[ 4 ]}

脆弱性を開示するか制限するかの決定は、関係機関すべてと十分に協議した上で、米国政府の任務における相反する利益を総合的に考慮して、迅速に行われるべきである。可能な限り、その決定は、発生頻度、依存度、深刻度などの要素を考慮に入れた、合理的かつ客観的な方法論に基づいて行われるべきである。

審査委員会のメンバーが合意に至らない場合、予備決定について投票を行います。利害関係のある機関がその決定に異議を唱える場合、VEP事務局に通知することにより、予備決定に異議を申し立てることができます。予備決定に異議を唱える機関がない場合、それは最終決定として扱われます。^{[ 4 ]}

脆弱性に関する情報が公開される場合は、可能な限り迅速に、できれば7営業日以内に公開します。

脆弱性の開示は、全メンバーが合意したガイドラインに従って実施されます。脆弱性に関する情報を最もよく把握しているのは提出機関であるとみなされ、提出機関はベンダーへの脆弱性情報の伝達責任を負います。提出機関は、情報伝達責任を他の機関に委任することもできます。

情報公開機関は、記録保管のため、開示された情報のコピーを速やかにVEP事務局に提供する。さらに、情報公開機関は、ERBがベンダーの対応が政府の要件を満たしているかどうかを判断できるよう、フォローアップを行うことが求められる。ベンダーが脆弱性に対処しない場合、または脆弱性のリスクに見合った緊急性をもって対応しない場合、情報公開機関は事務局に通知し、政府は他の緩和措置を講じる可能性がある。^{[ 4 ]}