届出から1年以上開発者と連絡がとれない脆弱性情報も公開へ（IPA）

IPAは、「脆弱性関連情報届出制度」において発見・届出された脆弱性の公開について、新たな運用を開始したと発表した。

製品・サービス・業界動向業界動向

2015.9.4 Fri 8:00

独立行政法人情報処理推進機構（IPA）は9月3日、「脆弱性関連情報届出制度」において発見・届出された脆弱性の公開について、新たな運用を開始したと発表した。IPAと一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は2004年7月から同制度を運用しているが、「開発者に連絡がとれないことにより、指摘された脆弱性の修正パッチ等が提供できないこと」「その結果、製品利用者が長期にわたり脆弱性の存在を認識できないまま製品を使い続けてしまうこと」が関係者間で問題視されていたという。

そこで、製品利用者の安全確保を第一義とし、「当該製品を使用しないという選択」を可能とするため、「対策情報が提供されていない製品の脆弱性情報」を公表する新たな運用を開始し、同日2件をJVNにて公表した。また、これらの情報は今後、IPAのWebサイトの「重要なセキュリティ情報」欄においても「連絡不能公表」として掲出する。発見・届出された脆弱性のうち、届出から1年以上開発者と連絡がとれないソフトウェア製品の脆弱性は、1割弱存在するという。

《吉澤亨史（ Kouji Yoshizawa ）》