1：名無しさん




・要約

経済産業省は9月9日、ソフトウェアなどの脆弱性情報の扱いについて「情報セキュリティ早期警戒パートナーシップガイドライン」に沿った対応を求める声明を発表した。これは、8月28日に共同通信が報じた「FeliCa」の脆弱性事例を念頭に置いたものとみられる。

同ガイドラインでは、発見された脆弱性情報は関係者間でのみ共有し、検証や対策が完了した後に公表することが定められている。これは悪用のリスクを最小化するための手順である。

しかし今回のケースでは、IPAやソニーが公式に情報を公表していなかった段階で、脆弱性を発見した研究者に取材した報道機関が大きく報道してしまった。発見者は7月にIPAへ報告していたが、正式な公表前に情報が拡散した形だ。

経産省は、脆弱性発見者に対してIPAへ届出を行い、正当な理由がない限り第三者に開示しないこと、やむを得ず開示が必要な場合でも事前にIPAへ相談することを要請。また報道機関などにも「安易に情報を公開しないように」と注意を促した。

今回の声明は、経産省、国家サイバー統括室、情報処理推進機構（IPA）、JPCERTコーディネーションセンター（JPCERT/CC）の4者連名によるもの。今後はIPA主催の研究会を通じて、脆弱性情報の扱いに関するルールの見直しも検討していくとしている。

https://news.yahoo.co.jp/articles/c0673214005e1c2ea0909c7dd9b4fe4322ec816d