ソフトウェア等脆弱性関連情報取扱基準のポイント

ソフトウェア等脆弱性関連情報取扱基準のポイントについてまとめました。

ソフトウェア等脆弱性関連情報取扱基準とは

ソフトウェア等脆弱性関連情報取扱基準(経済産業省告示・平成16年)とは、ソフトウェア等に係る脆弱性関連情報等の取扱いについての推奨行為を定めているる経済産業省の告示です。

ソフトウェア等の脆弱性の「発見者」、脆弱性情報を提供された「受付機関」「調整機関」「開発者」「管理者」などの関係者が適切に情報を取り扱うための基準が記載されています。

代表的な基準は以下のとおり。

–	–
1	受付機関は、氏名、連絡先等の発見者を特定し得る情報を適切に管理し、当該発見者の同意がない場合は他者(ウェブサイト運営者を含む)に開示しないこと
2	ウェブサイト運営者は当該脆弱性に起因する個人情報の漏えい等の事案が発生した場合、二次被害の防止、類似事案の発生回避等の観点から、可能な限り事実関係等を公表するなど必要な対策をとること
3	受付機関は当該ウェブサイト運営者から当該脆弱性を修正した旨の通知があったときは、それを速やかに発見者に通知すること。
4	受付機関は、脆弱性に起因する被害の予防に資するため、脆弱性関連情報の届出状況等を公表すること」