発見された製品脆弱性を関係機関へ円滑に報告・調整する早期警戒パートナーシップ

「情報セキュリティ早期警戒パートナーシップガイドライン」では、発見者からIPAに届出された製品の脆弱性情報は、調整機関であるJPCERT/CCから製品開発者に通知されます。通知を受けた製品開発者は、脆弱性の検証や修正プログラムの開発を行うとともに、利用者が安全に対処できるよう、脆弱性情報や対策の公表スケジュールをJPCERT/CCと緊密に調整して決定することが規定されています。 自社製品に脆弱性が発見されたことによってISMS認証の停止手続を依頼するような規定は存在しません。 脆弱性関連情報の統計データの集計・公表は、受付機関であるIPAが定期的に実施する業務です。 JVN(Japan Vulnerability Notes)への公表作業は、製品開発者が直接書き込むのではなく、製品開発者による対策完了に合わせてJPCERT/CCおよびIPAが掲載・公表を行います。

ソフトウェア製品の脆弱性を第三者が発見し,その脆弱性をJPCERTコーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち,“情報セキュリティ早期警戒パートナーシップガイドライン(2019年5月)“に照らして適切なものはどれか。

出典令和3年度 秋期 応用情報技術者試験 午前 問38
ア
ISMS認証を取得している場合,ISMS認証の停止の手続をJPCERTコーディネーションセンターに依頼する。
イ
脆弱性関連の情報を集計し,統計情報としてIPAのWebサイトで公表する。
ウ
脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し,決定する。
エ
脆弱性の対応状況をJVNに書き込み,公表する。