ソフトウェア製品開発者の脆弱性開示（ISO/IEC 29147）

脆弱性開示（ISO/IEC 29147）は、製品の開発者が、見つかった脆弱性の情報を、利用者や関係者にどのように開示するかを定めた国際規格です。

■ 試験で押さえるポイント

• 外部からの脆弱性の報告を受け付ける窓口を用意します。

• 対策（修正プログラム）の提供に合わせて情報を公表し、利用者が攻撃を受ける危険を小さくします。

• 組織の内部での取扱いの手順はISO/IEC 30111が定めます。

■ 過去問での着眼点

29147は外部への開示、30111は内部での取扱いの手順と区別します。

例: 開発者が修正版を公開すると同時に、脆弱性の内容と回避策を公表します。