脆弱性関連情報の届出の取扱い
セキュリティ技術者の B 氏は，P 社が販売するソフトウェア製品の脆弱性と，Q 社が運営するウェブサイトの脆弱性を発見し，それぞれ IPA に届け出た。IPA が公開している脆弱性関連情報の届出受付業務の取扱いプロセスに照らして，届出の受理後の取扱いとして，適切なものはどれか。
- アウェブサイトの脆弱性は，Q 社が修正を完了した後に，脆弱性の内容と対策がウェブサイトの名称とともに JVN で公表される。
- イソフトウェア製品の脆弱性は，IPA から連絡を受けた JPCERT/CC が P 社に連絡し，公表日を調整した上で，対策方法が JVN で公表される。
- ウウェブサイトの脆弱性について Q 社と連絡が取れない場合は，Q 社の名称が連絡不能開発者一覧に公表され，Q 社からの連絡が呼び掛けられる。
- エソフトウェア製品の脆弱性は，IPA が P 社に直接連絡して修正を依頼し，JPCERT/CC は対策方法の公表後の利用者への注意喚起だけを担う。
正解と解説を見る
正解 イ
この問題の基礎知識
- 情報セキュリティ早期警戒パートナーシップでは，脆弱性関連情報の届出の受付機関を IPA，製品開発者との調整機関を JPCERT/CC としている。
- ソフトウェア製品の脆弱性は，JPCERT/CC が製品開発者と公表日を調整し，対策方法などを JVN で公表する。製品開発者と連絡が取れない場合は，連絡不能開発者一覧で連絡を呼び掛けることがある。
- ウェブサイトの脆弱性は，IPA がウェブサイト運営者に連絡して修正を促すものであり，個別のウェブサイトが判別できる形では公表されない。
アウェブサイトの脆弱性は，Q 社が修正を完了した後に，脆弱性の内容と対策がウェブサイトの名称とともに JVN で公表される。
JVN で対策方法を公表するのはソフトウェア製品の取扱いである。ウェブサイトの脆弱性は，修正完了の報告を受けた IPA がその旨を発見者に連絡する。IPA が公表する統計情報にも，届出のウェブサイトが判別できる情報は含まれない。
イソフトウェア製品の脆弱性は，IPA から連絡を受けた JPCERT/CC が P 社に連絡し，公表日を調整した上で，対策方法が JVN で公表される。正解
ソフトウェア製品の取扱いでは，IPA が脆弱性関連情報を JPCERT/CC に連絡し，JPCERT/CC が製品開発者への連絡と公表日の調整を行う。その後，IPA と JPCERT/CC が対応状況（対策方法）を JVN で公表する。
ウウェブサイトの脆弱性について Q 社と連絡が取れない場合は，Q 社の名称が連絡不能開発者一覧に公表され，Q 社からの連絡が呼び掛けられる。
連絡不能開発者一覧に公表して連絡を呼び掛けるのは，ソフトウェア製品で製品開発者に連絡が取れない場合である。ウェブサイトの取扱いでは，運営者の連絡先が見つからない場合や返信がない場合に取扱いを終了することがある。
エソフトウェア製品の脆弱性は，IPA が P 社に直接連絡して修正を依頼し，JPCERT/CC は対策方法の公表後の利用者への注意喚起だけを担う。
ソフトウェア製品で製品開発者への連絡と公表日の調整を担うのは JPCERT/CC であり，IPA は届出の受付と受理・不受理の判断を行って JPCERT/CC に情報を連絡する。IPA が運営者に直接連絡するのはウェブサイトの取扱いである。
検証用の出典出典照合済み
IPA 脆弱性関連情報の届出受付業務における取扱いプロセス (https://www.ipa.go.jp/security/todokede/vuln/process.html)照合の根拠（7 件）
- イ（正解）・エ（誤り）: IPA は JPCERT/CC に連絡し，製品開発者への連絡は JPCERT/CC が行う
IPAは、脆弱性関連情報をJPCERT/CC に連絡します。 4.製品開発者へ連絡 JPCERT/CCは、製品開発者の連絡先を調査し、製品開発者へ脆弱性関連情報を連絡します。
IPA 脆弱性関連情報の届出受付業務の取扱いプロセス · ソフトウエア製品の取扱いプロセス 3〜4（新しいタブで開きます） - ウ（誤り）: 連絡不能開発者一覧への公表はソフトウェア製品の取扱い
製品開発者に連絡が取れない場合は、連絡不能開発者一覧に公表し、製品開発者からの連絡を呼びかけます。
IPA 脆弱性関連情報の届出受付業務の取扱いプロセス · ソフトウエア製品の取扱いプロセス 4（新しいタブで開きます） - イ（正解）・エ（誤り）: 公表日の調整は JPCERT/CC が行う
JPCERT/CCは製品開発者と脆弱性関連情報に係る公表日を調整します。
IPA 脆弱性関連情報の届出受付業務の取扱いプロセス · ソフトウエア製品の取扱いプロセス 8（新しいタブで開きます） - イ（正解）: 対策方法は IPA と JPCERT/CC が JVN で公表する
IPA、JPCERT/CCは、脆弱性関連情報に係る対応状況（対策方法）をポータルサイト(JVN)にて公表します。また、公表した際は、その旨を発見者へ連絡します。
IPA 脆弱性関連情報の届出受付業務の取扱いプロセス · ソフトウエア製品の取扱いプロセス 9（新しいタブで開きます） - ウ（誤り）・エ（誤り）: ウェブサイトは運営者に直接連絡し，連絡先が見つからない・返信がない場合は取扱いを終了することがある
ウェブサイト運営者の連絡先を調査し、脆弱性関連情報を連絡します。連絡先が見つからない場合や、返信がない場合などは、取扱いを終了することがあります。
IPA 脆弱性関連情報の届出受付業務の取扱いプロセス · ウェブアプリケーションの取扱いプロセス 3（新しいタブで開きます） - ア（誤り）: ウェブサイトは修正完了の報告を受けて発見者に連絡する（流れに JVN での公表の段階は無い）
ウェブサイト運営者から脆弱性関連情報に係る修正完了の報告を受領した場合、その旨を発見者に連絡します。
IPA 脆弱性関連情報の届出受付業務の取扱いプロセス · ウェブアプリケーションの取扱いプロセス 6（新しいタブで開きます） - ア（誤り）: 統計情報でも届出のウェブサイトが判別できる情報は公表しない
IPAは、脆弱性に係る実態の周知徹底、被害の予防のため、脆弱性関連情報の届出受付業務に係る統計情報を公表します。その際、届出のウェブサイトが判別可能な情報は公表しません。
IPA 脆弱性関連情報の届出受付業務の取扱いプロセス · ウェブアプリケーションの取扱いプロセス 7（新しいタブで開きます）
ページ上の見出しは「ウェブアプリケーションの取扱いプロセス」で，本文は「ウェブサイト運営者」への連絡を扱う。