脆弱性関連情報の届出受付業務における取扱いプロセス

発見者からの届出を受付ます。
以降、受付した順序に関わらず、届出された脆弱性による影響が大きい案件を優先して取扱います。

記入項目に不備がないか、脆弱性であるか否か等を確認し、発見者へ受理／不受理とした旨を連絡します。届出内容に不明な点がある場合は、発見者へ確認を行うことがあります。

IPAは、脆弱性関連情報をJPCERT/CC に連絡します。

JPCERT/CCは、製品開発者の連絡先を調査し、製品開発者へ脆弱性関連情報を連絡します。
製品開発者に連絡が取れない場合は、連絡不能開発者一覧に公表し、製品開発者からの連絡を呼びかけます。
脆弱性による影響が小さい脆弱性の場合、製品開発者に連絡することで取扱いを終了することがあります。

JPCERT/CC は製品開発者への連絡を開始した旨（起算日）、および、製品開発者へ詳細情報を連絡した旨をIPAへ連絡します。IPAは起算日、および、詳細情報連絡日を発見者へ連絡します。

JPCERT/CCは、製品開発者に対して脆弱性関連情報に係る以下の対応を依頼します。

1. 連絡窓口の設置
2. JPCERT/CCへ脆弱性検証結果の報告、脆弱性評価、影響を鑑みた一般公表までのスケジュールの作成
3. 対策方法の作成
4. JPCERT/CCへ対応状況の報告

JPCERT/CCは、製品開発者の対応状況をIPAと共有します。また、発見者は、IPAへ進捗状況の問い合わせを行なう事ができます。

JPCERT/CCは製品開発者と脆弱性関連情報に係る公表日を調整します。
場合によっては、国民の生活に必要不可欠なサービスを提供する重要社会基盤保有事業者等に優先的に情報提供します。

IPA、JPCERT/CCは、脆弱性関連情報に係る対応状況（対策方法）をポータルサイト(JVN)にて公表します。また、公表した際は、その旨を発見者へ連絡します。

IPA、JPCERT/CCは、脆弱性に係る実態の周知徹底、被害の予防のため、脆弱性関連情報に係る統計情報を公表します。

発見者からの届出を受付ます。
以降、受付した順序に関わらず、届出された脆弱性による影響が大きい案件を優先して取扱います。

記入項目に不備がないか、脆弱性であるか否か等を確認し、発見者へ受理／不受理とした旨を連絡します。届出内容に不明な点がある場合は、発見者へ確認を行うことがあります。

ウェブサイト運営者の連絡先を調査し、脆弱性関連情報を連絡します。連絡先が見つからない場合や、返信がない場合などは、取扱いを終了することがあります。
影響が小さい脆弱性の場合、ウェブサイト運営者に連絡することで取扱いを終了することがあります。

発見者へ、ウェブサイト運営者に脆弱性関連情報を連絡した旨(取扱い開始連絡)を連絡します。

ウェブサイト運営者に対して脆弱性関連情報に係る以下の対応を依頼します。

1. 窓口の設置および脆弱性関連情報の受領連絡
2. IPAへ脆弱性関連情報に係る脆弱性検証結果の報告
3. IPAへ対応状況の報告
4. 脆弱性評価、影響を鑑みた修正の実施
5. 個人情報漏洩などの可能性がある場合は、二次被害の防止のため事実関係を公表

ウェブサイト運営者から脆弱性関連情報に係る修正完了の報告を受領した場合、その旨を発見者に連絡します。

IPAは、脆弱性に係る実態の周知徹底、被害の予防のため、脆弱性関連情報の届出受付業務に係る統計情報を公表します。その際、届出のウェブサイトが判別可能な情報は公表しません。

製品開発者からの届出を受付ます。

記入項目に不備がないか、脆弱性であるか否か等を確認し、製品開発者へ受理／不受理とした旨を連絡します。届出内容に不明な点がある場合は、製品開発者へ確認を行うことがあります。

IPAは、脆弱性関連情報をJPCERT/CC に連絡します。

JPCERT/CCは、届出に記載された製品開発者の連絡先へ連絡を行います。

JPCERT/CCは、製品開発者に対して脆弱性関連情報に係る以下の対応を依頼します。

1. 連絡窓口の設置
2. 対策方法の作成

JPCERT/CCは製品開発者と脆弱性関連情報に係る公表日を調整します。

IPA、JPCERT/CCは、脆弱性関連情報に係る対応状況（対策方法）をポータルサイト(JVN)にて公表します。

IPA、JPCERT/CCは、脆弱性に係る実態の周知徹底、被害の予防のため、脆弱性関連情報の届出受付業務に係る統計情報を公表します。