脆弱性の届け出
見つけた弱点はIPAへ届け、調整が終わるまで誰にも話さない。製品はJPCERT/CCが開発者と公表日を決めてJVNに載り、ウェブサイトは運営者が直して閉じ、個別には公表されない。
要点
- 受付機関はIPA、調整機関はJPCERT/CC。製品もウェブサイトも、届け出の先はIPA。
- 製品の公表日は、JPCERT/CCが開発者へ最初に連絡を試みた日から45日後が目安。
- ウェブサイトは、IPAが運営者へ通知し、運営者は3か月以内を目処に結果を返す。サイト名を出す公表はしない。
- 発見者は、正当な理由が無い限り第三者に開示しない。開示が要るときは事前にIPAへ相談する。
- IPAが受け付けても、発見の手段が合法と認められたわけではなく、法的な責任も免れない。
届け出の前に
ガイドラインは、発見と取得で関連法令に触れないよう求め、付録3に法律の専門家の見解を載せる[1]。
| 付録3の例 | 見解 |
|---|---|
| アクセス制御を回避して入る。管理者の了解なく他人のパスワードで入る | 不正アクセス禁止法に抵触する |
| 故意にサーバーの性能を落とす | 偽計業務妨害、威力業務妨害、程度によって電子計算機損壊等業務妨害に触れ得る |
| 正規の利用者として通常にログインし、通信を観察しただけで脆弱性を推定できた | 抵触しないと推察される |
| 入力欄にHTMLのタグを含む文字列を入れたら、そのまま表示された。アクセス制御の回避には至っていない | 抵触しないと推察される |
| 通常の閲覧の目的で URL の数字を替えたら、見られてはならない結果が偶発的に出た | 抵触しないと推察される。ただし多数の数字を積極的に試すと、制限を免れる目的とみなされ得る |
- IPAは入手の方法に関知しない。ただし違法な手段で入手されたことが明白なものは受け付けないことがある。受け付けても合法と判断したわけではなく、発見者の法的な責任も免れない[1]。
- 証拠は、検証のコード、画面の写し、ログなど。取得のときも法令に触れないよう求められる[1]。
製品かウェブサイトか
適用されるのは、影響が不特定か多数の人に及ぶおそれがある脆弱性[1]。
| ソフトウエア製品 | ウェブアプリケーション | |
|---|---|---|
| 対象 | 日本国内で利用されている製品。組み込みの機器、OSS を含む | 日本国内から実質的にアクセスされているサイトで動くもの |
| 分け方の基本 | 製品の利用者の側の対応が要る | 修正が事業者の側だけで済む |
| 調整する者 | JPCERT/CC が製品開発者と | IPA がウェブサイト運営者と |
| 公表 | JVN で公表する | 個別には公表しない。四半期ごとの統計だけ |
| 時間の目安 | 公表日は起算日から45日後 | 運営者は通知から3か月以内を目処に結果を返す |
| 直接の届け出 | 直接の届け出を受けると承諾した開発者へは直接届けてよい。その一覧は JVN にある | 外部の窓口を置く運営者へは直接届けてよい。調整が難航したら IPA へ |
暗号のアルゴリズムやプロトコルの仕様そのものの脆弱性は対象外。実装の脆弱性は対象[1]。
ソフトウエア製品の流れ
- 起算日 JPCERT/CC が製品開発者への連絡を最初に試みた日。公表日の目安と、非開示依頼の取下げの期間はここから数える[1]。
- 公表日 JPCERT/CC が開発者と相談して決め、IPA と開発者に通知する。開発者の求めで変わることがある。開発者から脆弱性に当たらないと連絡を受けた場合などは、公表を取りやめることがある[1]。
- 連絡不能 あらゆる連絡の方法を試みても6か月以上連絡が取れない場合と、公表の合意に至ることが社会通念上困難になった場合は調整不能とし、IPA が組織する公表判定委員会が公表の可否を判定する[1]。
- 優先の提供 国民生活に欠かせない基盤に特に影響が大きいと推察されるときは、対策ができてから一般の公表日までの間に、政府機関や重要インフラ事業者へ先に提供できる[1]。
ウェブサイトの流れ
- IPA は、脆弱性に当たらない、影響が小さい、運営者から的確な答えが無い、運営者が対応しないと連絡してきた、などの場合に取扱いを終える。終えると、発見者への非開示依頼は効力を失う[1]。
- 政府機関のサイトは国家サイバー統括室へ、地方公共団体のサイトは総務省へ、情報の一部を開示して迅速な対応を依頼する。個人情報が漏れているおそれがあり運営者が対応しないときは、個人情報保護委員会へ連絡する[1]。
- 分析の中でソフトウエア製品の脆弱性と分かれば、JPCERT/CC を介して製品開発者へ連絡する。サイトを特定できる情報は原則として渡さない[1]。
届け出る内容
受付の窓口は IPA の届出のページにある[3]。製品でもウェブサイトでも、次を明示する[1]。
- 氏名などの識別の情報と連絡先、それを相手へ通知してよいか、相手から直接連絡を受けてよいか。
- 製品の名称、またはサイトの URL。
- 確認した環境、手順、結果。可能なら検証のコード、画面の写し、ログ。
- 個人情報の扱い。製品では、公表のときに発見者名を付記するかも選べる。
- 他の組織への届け出の状況。
製品の開発者と IPA の両方に届けるときは、開発者との調整を自分でするか IPA に任せるかを届け出で明確にする[1]。
してはいけないこと
届け出の前後で
正当な理由なく第三者に開示しない。SNS、ブログ、発表、報道への持ち込みも含む。開示が要るときは事前に IPA へ相談する[1]。経済産業省、IPA、JPCERT/CC、国家サイバー統括室は2025年9月9日、報道や SNS での発信で未公表の脆弱性関連情報をむやみに開示しないよう、改めて求めた[4]。
- 確かめのために、アクセス制御を越える、負荷を掛ける、多数の値を試す。前の節の付録3の見解の範囲を出る。
- 真実と異なると知りながら、または特定人の名誉を毀損する意図で、公共の利益と無関係に公表する。名誉毀損罪に触れ得る。事実と異なると知りながら信用を毀損する意図で公表すれば、信用毀損罪に触れ得る[1]。
- 相当の注意を払った調査と検証なしに脆弱性として公表し、損害を生じさせる。損害賠償などの民事の責任を問われ得る[1]。
- 非開示依頼の効力がある間に、手元の記録の管理を怠る。第三者へ漏れないよう適切に管理することが求められる[1]。
公表のあと
JVN は IPA と JPCERT/CC が提供する脆弱性対策情報のポータルサイト[1]。番号の意味は JVN の読み方のページにある[5]。番号の頭で出どころが分かる。
| 番号 | 意味 |
|---|---|
| JVN#12345678 | 早期警戒パートナーシップに基づいて調整し、公表したもの |
| JVNVU#12345678 | 米国の CERT/CC など海外の調整機関、発見者、開発者と連携して公表したもの |
| JVNTA#12345678 | 調整の有無に関わらず、JPCERT/CC が必要に応じて出す注意喚起 |
- 公表のあと、開発者から新しい対策や対応状況を受け取るたびに更新する。悪用の事実を把握したら、開発者と協議して悪用の記載を加える[1]。
- 発見者が望めば、公表に発見者名を付記する。IPA は公表の際に発見者へ知らせる[1]。
2026年版の追加
重要電子計算機に対する不正な行為による被害の防止に関する法律 令和7年法律第42号の施行に伴い、IPA と JPCERT/CC は、一定の脆弱性関連情報について内閣府からの要請に基づき連携する。概要はガイドラインの付録7にある。NICT が製品開発者へ助言する場合は、JPCERT/CC と緊密に連携する[1]。
参照
- 情報セキュリティ早期警戒パートナーシップガイドライン 2026年版 IPA、JPCERT/CC、JEITA、SAJ、JISA、JNSA、NICT。2026年10月
- ソフトウエア製品等の脆弱性関連情報に関する取扱規程 経済産業省告示。平成29年第19号
- 脆弱性関連情報の届出受付 IPA
- 情報セキュリティ早期警戒パートナーシップガイドラインに則した対応に関するお願い 経済産業省、IPA、JPCERT/CC、国家サイバー統括室。2025年9月9日
- 脆弱性レポートの読み方 Japan Vulnerability Notes