De meeste beveiligingslekken die Google in de software van andere partijen vindt worden binnen 90 dagen gepatcht, zo heeft de internetgigant laten weten. Google beschikt over een apart team met de naam Project Zero dat naar kwetsbaarheden in allerlei software zoekt.

Zodra er een beveiligingslek is gevonden wordt de betreffende ontwikkelaar of leverancier geïnformeerd. Vanaf dat moment heeft de ontwikkelaar 90 dagen de tijd om met een beveiligingsupdate te komen, anders zal Google details over het lek openbaar maken. Een deadline van 90 dagen is volgens Google de best beschikbare optie om gebruikers te beschermen. "Het is onze verwachting dat de ontwikkelaar de kwetsbaarheid binnen 90 dagen verhelpt", aldus het techbedrijf.

In het geval een beveiligingsupdate binnen 14 dagen voor het verstrijken van de deadline verschijnt biedt Google de mogelijkheid voor een verlenging van 14 dagen. In het verleden is het weleens voorgekomen dat twee dagen na het verstrijken van de deadline er een patch verscheen. Voor dit soort gevallen is de verlenging een redelijk compromis, stelt Google. De verlenging wordt alleen aangeboden als de betreffende ontwikkelaar binnen de extra veertien dagen met een update komt.

Project Zero werd in juli 2014 opgericht. Sindsdien zijn er 1585 beveiligingslekken die het team vond door de betreffende leverancier gepatcht. Van 66 kwetsbaarheden werden de details openbaar gemaakt voordat er een update beschikbaar was. Dat houdt in dat zo'n 96 procent van de kwetsbaarheden binnen de deadline van 90 dagen werd gepatcht.

Sinds februari 2015 biedt Google ontwikkelaars ook de eerder genoemde verlenging van twee weken. Als er naar deze periode wordt gekeken zijn er 1434 verholpen beveiligingslekken. Daarvan kregen 1224 kwetsbaarheden binnen 90 dagen een update en werden er 174 binnen de verlengingsperiode van 14 dagen gepatcht. 36 kwetsbaarheden werden door Google geopenbaard zonder dat er patches beschikbaar waren. In dit geval was 97,5 procent van de kwetsbaarheden binnen de gegeven deadline opgelost.

Volgens Google is het nodig om een deadline te hanteren. "We maakten ons zorgen dat het lang kon duren voordat patches werden ontwikkeld en aan gebruikers aangeboden. We vonden dat een deadline om details openbaar te maken het juiste evenwicht van prikkels biedt", zo laat de internetgigant weten in een uitleg over het publicatiebeleid.