調整不能案件の公表判定業務における取扱いプロセス

調整不能案件の公表判定業務における取扱いプロセス

2004年7月8日から経済産業省の告示に基づき、独立行政法人情報処理推進機構（IPA）は脆弱性関連情報の届出の受付、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は、ソフトウエア製品の脆弱性関連情報について、製品開発者への連絡及び公表に係る調整を行ってきました。

この中で、製品開発者との間で、ソフトウエア製品の脆弱性情報について製品開発者への連絡及び公表に係る調整が不可能であると判断した届出（以降「調整不能案件」）があります。この様な調整不能案件に対して、何らかの調整を行わないと、脆弱性が存在する状態が継続されてしまうこと、もしくは、脆弱性情報が公表されない事により脆弱性があるソフトウエア製品を継続して利用し、製品利用者が被害に遭う可能性がある状況です。
この状況を受け、製品利用者の脆弱性による被害を受ける可能性を低減するためには、脆弱性情報を知り得ること、および、知り得た情報により対策を実施するための判断をする機会を得るための情報を提供する必要があります。このため、IPAは調整不能案件の脆弱性情報を公表するか否かを判定する公表判定運用を行い、判定の結果により脆弱性情報を公表します。

• 2014年5月14日　経済産業省告示「ソフトウエア等脆弱性関連情報取扱基準」により、IPAが公表判定機関に指定されました。また、告示に則り策定したガイドラインに基づき、連絡不能案件の公表判定の運用を開始しました。

• 2017年5月30日　告示に則り策定したガイドラインに基づき、調整不能案件に対する公表判定の運用を開始しました。

調整不能案件の取扱いプロセス

調整不能案件の取扱いにおいては、脆弱性情報を公表しない場合に製品利用者等が受けうる被害と、公表した場合に製品開発者、製品利用者等が被りうる不利益が生じ得ます。このバランスに配慮するとともに、社会的背景も思料し、不利益を被りうる関係者が意見を表明することも可能な、透明性・妥当性のある処理プロセスを整備しました。

公表判定委員会とは

公表判定委員会は、IPAにより組織され、法律、サイバーセキュリティ、当該ソフトウエア製品分野の専門家などの専門的な知識経験を有する者を委員として指名し、委員長、委員、事務局から構成されます。また、公表判定の際には、中立性を考慮し、当該調整不能案件に利害関係のない委員で判定を行います。
公表判定委員会は、関係者に意見表明の機会を提供し、その意見を踏まえ、公表が適当か否か（公表する条件を満たしているか否か）を判定します。

公表判定委員会名簿

新 誠一

高木 浩光

高田 広章

高橋 郁夫

土居 範久

町村 泰貴

（五十音順、敬称略）

判定条件

下記の全ての状況を満たす場合、公表することが適当と判断します。それ以外は、公表しないことと判定します。

1. 調整機関と製品開発者との間の脆弱性情報の公表に係る調整が不可能であること

2. 脆弱性の存在が認められること
   ソフトウエア製品の脆弱性とは、ソフトウエア製品等において、コンピュータ不正アクセスやコンピュータウイルス等の攻撃により、その機能や性能を損なう原因となり得るセキュリティ上の問題箇所です。ソフトウエア製品において、情報セキュリティの三大要素（機密性、完全性、可用性）の1つ以上が侵害される可能性があり、その原因となる問題挙動をIPAまたはJPCERT/CCが具体的に例示可能であり、製品開発者が反証できないとき、脆弱性の存在が認められると判断します。なお、判断においては、一般的なソフトウエア製品の利用方法や、製品開発者があらかじめ提示している使用条件等を考慮します。

3. IPAが公表しない限り、脆弱性情報を知り得ない製品利用者がいるおそれがあること
   製品開発者が当該ソフトウエア製品の製品利用者全員に確実に通知することが困難な場合を対象とします。たとえば、ソフトウエア製品が市販されている場合や、ホームページ等でダウンロード可能である場合はこれに該当します。

4. 製品開発者や製品利用者の状況等を総合的に勘案して、公表が適当でないと判断する理由・事情がないこと
   製品開発者の取組みや製品利用者の状況を鑑みて、公表することが適当ではないと判断する明確な理由・事情がある場合には、公表を行いません。