令和3年度秋期 応用情報技術者試験 午前 問38
ソフトウェア製品の脆弱性を第三者が発見し，その脆弱性をJPCERTコーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち，“情報セキュリティ早期警戒パートナーシップガイドライン（2019年5月）”に照らして適切なものはどれか。
- ア ISMS認証を取得している場合，ISMS認証の停止の手続をJPCERTコーディネーションセンターに依頼する。
- イ 脆弱性関連の情報を集計し，統計情報としてIPAのWebサイトで公表する。
- ウ 脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し，決定する。
- エ 脆弱性の対応状況をJVNに書き込み，公表する。
解答・解説を見る
正解：ウ
AI解説
情報セキュリティ早期警戒パートナーシップガイドラインでは、脆弱性の届出を受けたJPCERT/CCが製品開発者と調整を行い、脆弱性情報の公表日はJPCERT/CCと製品開発者が協議して決定する仕組みになっている(発見者が一方的に公表しない、開発者の対応期間を確保する等の配慮のため)。 ア: 誤り。ISMS認証の停止手続をJPCERTに依頼するという仕組みはガイドラインに定められていない。 イ: 誤り。脆弱性情報の統計公表はIPAが行う業務であり、個別の脆弱性対応における製品開発者の対応として適切ではない。 ウ: 正しい。脆弱性情報の公表スケジュールは、製品開発者がJPCERTコーディネーションセンターと調整して決定するのが、ガイドラインに沿った適切な対応である。 エ: 誤り。JVNへの対応状況公表はJPCERT/CCが調整のうえ行うものであり、開発者が独自に書き込み公表する仕組みではない。 💡 脆弱性対応の流れ(発見者→IPA/JPCERT→製品開発者→調整の上で公表)を一連のプロセスとして覚えておくと、関連問題にも対応しやすい。
出典：令和3年度 秋期 応用情報技術者試験 午前 問38 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。