ソフトウエア製品等の脆弱性関連情報に関する取扱規程

ソフトウエア製品等の脆弱性関連情報に関する取扱規程は、ソフトウェア製品やWebサイトで見つかった脆弱性の情報を、誰がどのような手順で受け付け、調整し、公表するかを定めた経済産業省の告示です。この規程に基づく官民の枠組みを、情報セキュリティ早期警戒パートナーシップといいます。

■ 試験で押さえるポイント

• 脆弱性を見つけた人は、受付機関であるIPAに届け出ます。

• ソフトウェア製品の脆弱性は、調整機関であるJPCERT/CCが製品開発者と対策や公表の時期を調整し、JVNで公表します。

• Webサイトの脆弱性は、IPAがWebサイトの運営者に通知し、修正を促します。

• 対策が整う前に脆弱性の情報が広まると攻撃に悪用されるため、関係者は情報を適切に管理します。

■ 過去問での着眼点

脆弱性情報の受付はIPA、製品開発者との調整はJPCERT/CC、公表はJVNと、役割を区別して覚えます。