ソフトウェア製品の脆弱性を第三者が発見し、その脆弱性をJPCERTコーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち、“情報セキュリティ早期警戒パートナーシップガイドライン（2019年5月）”に照らして適切なものはどれか。

選択肢

• アISMS認証を取得している場合、ISMS認証の停止の手続をJPCERTコーディネーションセンターに依頼する。
• イ脆弱性関連の情報を集計し、統計情報としてIPAのWebサイトで公表する。
• ウ脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。
• エ脆弱性の対応状況をJVNに書き込み、公表する。

正解と解説

正解：ウ 脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。

早期警戒パートナーシップでは、JPCERT/CCが調整機関として製品開発者と発見者の間に立ち、対策の準備状況を踏まえて公表時期を調整する。製品開発者は修正の見通しを共有しつつ、JPCERT/CCと公表スケジュールを決めるのが適切な対応である。JVNへの掲載や統計の公表は調整機関やIPAが行う役割である。

選択肢ごとの解説

• ア脆弱性の届出とISMS認証の停止手続には関係がなく、そのような依頼は行わない。
• イ脆弱性関連情報の集計と統計公表はIPAなどが行うもので、製品開発者の対応ではない。
• ウ正しい。JPCERT/CCと公表スケジュールを調整し決定するのが製品開発者の役割である。
• エJVNへの掲載はJPCERT/CCとIPAが運営として行うもので、製品開発者が直接書き込むものではない。

同じ分野の他の問題

• ある組織ではCSIRTとPSIRTが設置されている。セキュリティインシデントのうち、PSIRTが対応するものはどれか。2025年度 秋期 午前 問40
• ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Materials）管理ツールを用…2025年度 春期 午前 問40
• 欧米などの企業，組織で行われている"セキュリティクリアランス"の事例はどれか。2025年度 春期 午前 問39
• ソフトウェアのセキュリティ管理に使用されるSBOMはどれか。2024年度 秋期 午前 問43
• JIS Q 31000:2019(リスクマネジメントー指針)において、リスク特定で考慮することが望ましいとされている事項…2024年度 春期 午前 問40