Internet Watch logo
記事検索
最新ニュース
■
レゴ、小学生向けプログラミング教材「WeDo 2.0」発売
[2016/01/29]
■
マクロウイルスを知らない世代の社員が狙われる？　「Office文書を開いて感染」攻撃が再び増加
[2016/01/29]
■
新gTLD「.shop」、49億円でGMOが落札、AmazonやGoogleなどに競り勝つ
[2016/01/29]
■
Windows SQL Server 2005サポート終了の4月12日が迫る、報告済み脆弱性の深刻度も高く、早急な移行を
[2016/01/29]
■
インストール不要の非常駐型セキュリティソフト「Dr.Web CureIt!」、日本語版を無料で提供
[2016/01/29]
■
筆まめ、中小事業者向け顧客管理ソフト「筆まめ顧客管理 Windows版」発売
[2016/01/29]
■
大日本印刷が「サイバーナレッジアカデミー」設立、IAIの訓練システムでセキュリティ技術者を養成
[2016/01/29]
■
「インターネット白書2016」発売、20周年記念の特別版
[2016/01/29]
■
NEC、中小規模事業者向けセキュリティアプライアンス「Aterm SA3500G」を発売
[2016/01/29]
■
Synology、2ベイNASのハイエンドモデル「DS216+」、暗号化データも上下100MB／秒以上で高速転送
[2016/01/29]
■
公安9課が情報流出の危険性を解き明かす、「攻殻機動隊 S.A.C.」の描き下ろしPDFコミック「HUMAN-ERROR TRAPS」無償公開
[2016/01/29]
■
Google Playに「マンガストア」オープン、ジャンプコミックスも配信開始
[2016/01/28]
■
BIGLOBE、電力とインターネットのセットプラン、中部電力の首都圏エリア展開に合わせ
[2016/01/28]
■
ウェブブラウザーのプライベートブラウジング機能、認知していた人は23.1％
[2016/01/28]
■
LINE、違う電話番号のスマホから一方的にアカウント移管操作を行えないよう仕様変更
[2016/01/28]
■
LINEのiPhone版アプリがiPadにも対応、「LINE for iPad」より多機能、大画面で音声・ビデオ通話が可能に
[2016/01/28]
■
Microsoft、Officeと他社クラウドストレージとの連携を強化
[2016/01/28]
■
Googleのディープラーニングシステムによって、人工知能が初めて囲碁のプロ棋士に勝利
[2016/01/28]
■
ソラコム、IoTプラットフォーム「SORACOM」と既存システムを専用線でつなぐサービスや認証機能など提供開始
[2016/01/28]
■
Google「Chrome 48」iOS版ではクラッシュ率70％低下、JavaScript実行速度も大幅改善
[2016/01/28]

脆弱性発見から対処法公開までのルールを明確化～IPA、研究会報告で提言


　情報処理推進機構（IPA）は6日、2003年11月から開催していた「情報システム等の脆弱性情報の取扱いに関する研究会」の検討結果をまとめた報告書を公開した。報告書では、脆弱性を発見した場合に届け出を受け付ける機関や、ソフトウェア製品の脆弱性の公表時期を調整する機関の必要性や、脆弱性情報を受け取ったメーカーや開発者に一定期間内に対処方法の公開を求めるルールの策定など、脆弱性関連情報の流通に関する枠組みを構築することが提言されている。

　同研究会は、ソフトウェアの脆弱性が不正アクセスやウイルスなどに悪用されるケースが増えたことを受けて、政府が2003年10月に発表した「情報セキュリティ総合戦略」の提言に沿って、業界および国が脆弱性に対してどのように取り組むべきかという指針を検討するために設置されたもの。今回まとめられた報告書では、ソフトウェア製品とWebアプリケーションを対象として、脆弱性関連情報の流通の枠組みについての提言がなされた。

　提言では、脆弱性が発見されてから、利用者に対処方法が公表されるまでの、脆弱性情報の流通に関する枠組みの構築が必要であるとしている。特に公的機関については、脆弱性の発見者からの届け出を受け付ける機関をIPAに一元化し、JPCERT/CCは脆弱性情報のメーカーへの連絡や公表時期の調整、米CERT/CC等の海外のセキュリティ対策機関との連携を担当するといった、各機関の役割の明確化を求めている。

　また、脆弱性の発見者は届け出から対処方法が公開されるまでの間は第三者に情報を漏洩しないようにすること、脆弱性情報を受け取ったメーカーは一定期間内に対処方法を公表することといった、脆弱性情報の公開に関するルールの策定も必要だとしている。脆弱性情報を受け取ってからメーカーが対処方法を公開するまでの期間については現状では未定だが、提言では米CERT/CCは45日以内の公表を原則としていることを例として挙げている。

　こうした枠組みを制度として保証するために、政府は関係者が守るべき指針などを定めた公的ルールを策定するとともに、脆弱性情報の発見者や製品開発者に求められる行動指針などを定めたガイドラインを公表し、運用していくことが必要だとしている。今後の予定としては、5月上旬にも政府の公的ルール案を公表して意見を募集し、7月上旬には運用の開始を想定している。

関連情報

■URL
　 ニュースリリース
　 http://www.ipa.go.jp/about/press/20040406.html
　 情報システム等の脆弱性情報の取扱いに関する研究会 報告書
　 http://www.ipa.go.jp/security/fy15/reports/vuln_handling/index.html


（ 三柳英樹 ）
2004/04/06 18:11

- ページの先頭へ-

Internet Watch ホームページ
Copyright (c) 2004 Impress Corporation All rights reserved.