応用情報技術者試験 応用情報技術者試験 令和3年度秋期 午前 問38: ソフトウェア製品の脆弱性を第三者が発見し，その脆弱性を JPCERT コーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち，

正解

ウ. 脆弱性情報の公表に関するスケジュールを JPCERT コーディネーションセンターと調整し，決定する。

正答率 68.5%（1,044人中 715人が正解）

問題の解説

情報セキュリティ早期警戒パートナーシップでは、発見者の届出を受けた IPA が調整機関である JPCERT コーディネーションセンターへ通知し、調整機関が製品開発者に連絡して、対策や公表の時期を調整する。製品開発者は、脆弱性情報の公表スケジュールを調整機関と調整して決める。統計情報の公表は IPA の役割である。

選択肢ごとの解説

• アISMS 認証の停止を調整機関に依頼する手続は、このガイドラインに定められた製品開発者の対応ではない。
• イ脆弱性関連情報を集計して、統計情報として IPA の Web サイトで公表するのは、IPA の役割である。製品開発者の対応ではない。
• ウ正しい。製品開発者は、対策の準備状況を踏まえて、脆弱性情報の公表スケジュールを JPCERT コーディネーションセンターと調整して決める。
• エJVN での公表は、調整機関が開発者と調整のうえで行うもので、製品開発者が単独で書き込んで公表するものではない。