令和3年度 秋期 応用情報技術者試験 午前 問題 問38
テクノロジセキュリティ管理セキュリティ関連機関・評価認証制度
ソフトウェア製品の脆弱性を第三者が発見し，その脆弱性をJPCERTコーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち，“情報セキュリティ早期警戒パートナーシップガイドライン（2019年5月）”に照らして適切なものはどれか。
解答・解説
正解: ウ. 脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し，決定する。
情報セキュリティ早期警戒パートナーシップは、ソフトウェアなどの脆弱性に関する情報を適切に流通させ、被害を未然に防ぐための官民連携体制です。この枠組みでは、発見された脆弱性情報はIPAが受け付け、JPCERTコーディネーションセンター（JPCERT/CC）が製品開発者との調整を行います。
製品開発者は、JPCERT/CCから脆弱性の通知を受けた場合、脆弱性の事実確認を行い、修正プログラム等の対策を検討・作成します。その後、脆弱性情報の公表時期や公表内容についてJPCERT/CCとスケジュールを調整・決定し、利用者に情報を公表します。
したがって、製品開発者の対応として適切なのは「ウ」です。
各選択肢の解説
- ア: 誤り。JPCERT/CCはISMS認証機関ではないため、ISMS認証関連の手続きを行う組織ではありません。
- イ: 誤り。届け出られた脆弱性関連情報の集計や、統計情報としての公表などを行うのはIPAの役割です。製品開発者ではありません。
- ウ: 正解。製品開発者は、修正プログラムの準備状況などを踏まえ、JPCERT/CCと脆弱性情報の公表に関するスケジュールを調整し、決定します。
- エ: 誤り。JVN（Japan Vulnerability Notes）は、JPCERT/CCとIPAが共同で運営している脆弱性対策情報ポータルサイトです。情報の掲載・公表はJPCERT/CC等が行うものであり、製品開発者が直接書き込むものではありません。