2019 暗号と情報セキュリティシンポジウム
MWS/CWS合同企画セッション(1)

脆弱性届出制度～ 情報セキュリティ早期警戒パートーナーシップの取組み ～2019年1月24日
独立行政法人情報処理推進機構（IPA）
セキュリティセンター セキュリティ対策推進部
脆弱性対策グループリーダー 渡辺 貴仁

1

「情報セキュリティ早期警戒パートナーシップ」とは 情報セキュリティ早期警戒パートナーシップは、ソフトウェア製品及びウェブサイトに関する脆弱性関連情報の円滑な流通、および対策の普及を図るため、公的ルールに基づく官民の連携体制として、 2004年7月に整備された脆弱性関連情報の届出制度。
 告示
平成29年経済産業省告示第19号
http://www.meti.go.jp/policy/netsecurity/vul_notification.pdf

 ガイドライン
情報セキュリティ早期警戒パートナーシップガイドライン
https://www.ipa.go.jp/files/000059694.pdf

 脆弱性関連情報は関係者の協力をもと、適切に流通・対応・公表※ されている。
※公表はソフトウェア製品の脆弱性の場合
Copyright © 2019 独立行政法人情報処理推進機構2情報セキュリティ早期警戒パートナーシップ
ガイドライン構成Ⅰ．はじめにⅡ．用語の定義と前提
Ⅲ．本ガイドラインの適用の範囲
Ⅳ．ソフトウエア製品に係る脆弱性関連情報取扱
１．概要
２．発見者の対応
３．IPA（受付機関）の対応
４．JPCERT/CC（調整機関）の対応
５．製品開発者の対応
６．その他

Ⅴ．ウェブアプリケーションに係る脆弱性関連情報取扱

付録１ 用語の解説
付録２ 脆弱性情報取扱いのフロー付録３ 法的な論点について
１．発見者が心得ておくべき法的な論点
２．製品開発者が心得ておくべき法的な論点
３．ウェブサイト運営者が心得ておくべき法的な論点
付録４ 脆弱性の影響度に関する考え方について
付録５ ソフトウエア製品における連絡不能案件の取扱いについて
１．連絡不能開発者一覧の公表
２．対象製品情報の公表と関係者へのお願い付録６ ソフトウエアの脆弱性の取扱いに関する国際標準への対応
付録７ 本ガイドラインの別冊・関連資料一覧

１．概要
２．発見者の対応
３．IPA（受付機関）の対応
４．ウェブサイト運営者の対応

Copyright © 2019 独立行政法人情報処理推進機構

3本制度で扱う脆弱性 脆弱性の定義
 ソフトウエア製品やウェブアプリケーション等におけるセキュリティ上の問題箇所
 コンピュータ不正アクセスやコンピュータウイルス等により、この問題の箇所が攻撃されることで、そのソフトウエア製品やウェブアプリケーションの本来の機能や性能を損なう原因となり得るもの
 また本制度での脆弱性は、個人情報等が適切なアクセス制御の下に管理されていないなど、ウェブサイト運営者の不適切な運用により、ウェブアプリケーションのセキュリティが維持できなくなっている状態も含む

Copyright © 2019 独立行政法人情報処理推進機構

4

現行の告示での対象範囲
ソフトウエア製品等の脆弱性関連情報に関する取扱規程
３．定義(1) ソフトウエア製品
ソフトウエア又はそれを組み込んだハードウエアであって、汎用性を有する製品をいう。

(2) ウェブアプリケーション
インターネット上のウェブサイトで稼働する固有のシステムをいう。

４．本基準の適用範囲
本規程は、日本国内で利用されているソフトウエア製品又は主に日本国内からのアクセスが想定されているウェブサイトで稼働するウェブアプリケーションに係る脆弱性であって、 その脆弱性に起因する影響が不特定多数の者に及ぶおそれのあるものに適用する。

Copyright © 2019 独立行政法人情報処理推進機構

5

運営体制と役割（全体フロー）
ユーザ
受付・分析機関

脆弱性対策情報ポータル

対応状況等
公表

報告された
脆弱性関連情報の内容確認・検証

分析支援機関産総研など

セキュリティ対策推進協議会等

脆弱性関連情報通知

Webサイト運営者
検証、対策実施

個人情報の漏えい時は事実関係を公表※JPCERT/CC：一般社団法人
JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所
コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所※JPCERT/CC：一般社団法人 JPCERT

脆弱性関連情報流通体制•上段：ソフトウェア製品の脆弱性•下段：ウェブサイト（ウェブアプリケーション）の脆弱性

Copyright © 2019 独立行政法人情報処理推進機構

6

運営体制と役割（発見者）
ユーザ
受付・分析機関

脆弱性対策情報ポータル

対応状況等
公表

報告された
脆弱性関連情報の内容確認・検証

分析支援機関産総研など

セキュリティ対策推進協議会等

脆弱性関連情報通知

Webサイト運営者
検証、対策実施

個人情報の漏えい時は事実関係を公表※JPCERT/CC：一般社団法人
JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所
コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所※JPCERT/CC：一般社団法人 JPCERT

脆弱性を発見し、本制度に脆弱性情報として届出された方•発見者のタイプ–一般のウェブサイト／ソフトウェア製品の利用者–学生、セキュリティ研究者、セキュリティベンダー
–ソフトウェア製品開発者（自社製品の脆弱性届出）

Copyright © 2019 独立行政法人情報処理推進機構

7

運営体制と役割（IPA 受付・分析機関）
ユーザ
受付・分析機関

脆弱性対策情報ポータル

対応状況等
公表

報告された
脆弱性関連情報の内容確認・検証

分析支援機関産総研など

セキュリティ対策推進協議会等

脆弱性関連情報通知

Webサイト運営者
検証、対策実施

個人情報の漏えい時は事実関係を公表※JPCERT/CC：一般社団法人
JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所
コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所※JPCERT/CC：一般社団法人 JPCERT

届出られた脆弱性情報を受付け、分析し、流通管理を行う•脆弱性関連情報の受付–受理、案件管理–発見者やJPCERT/CCとの調整•脆弱性関連情報の分析–脆弱性の検証および判断–注意喚起の検討および公表
Copyright © 2019 独立行政法人情報処理推進機構

8

運営体制と役割（AIST… 分析支援機関）
ユーザ
受付・分析機関

脆弱性対策情報ポータル

対応状況等
公表

報告された
脆弱性関連情報の内容確認・検証

分析支援機関産総研など

セキュリティ対策推進協議会等

脆弱性関連情報通知

Webサイト運営者
検証、対策実施

個人情報の漏えい時は事実関係を公表※JPCERT/CC：一般社団法人
JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所
コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所※JPCERT/CC：一般社団法人 JPCERT

客観的な判断が必要な情報に関し、専門官に分析を依頼する•国立研究開発法人 産業技術総合研究所–脆弱性届出に関し、研究専門官に客観的な判断を求める
相談内容例：暗号アルゴリズム、IPプロトコル、生体認証–関連資料の精査

Copyright © 2019 独立行政法人情報処理推進機構

9

運営体制と役割（ウェブサイト運営者）ユーザ
受付・分析機関

脆弱性対策情報ポータル

対応状況等
公表

報告された
脆弱性関連情報の内容確認・検証

分析支援機関産総研など

セキュリティ対策推進協議会等

脆弱性関連情報通知

Webサイト運営者
検証、対策実施

個人情報の漏えい時は事実関係を公表※JPCERT/CC：一般社団法人
JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所
コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所※JPCERT/CC：一般社団法人 JPCERT

ウェブサイトの脆弱性について対策を行う•ウェブサイト運営者のタイプ–官公庁、地方自治体、民間企業、団体、個人•ウェブサイト運営者の対応–脆弱性情報への対処（影響の調査、修正の実施）–個人情報漏えい時は事実関係を公表
Copyright © 2019 独立行政法人情報処理推進機構

10

運営体制と役割（JPCERT/CC 調整機関）
ユーザ
受付・分析機関

脆弱性対策情報ポータル

対応状況等
公表

報告された
脆弱性関連情報の内容確認・検証

分析支援機関産総研など

セキュリティ対策推進協議会等

脆弱性関連情報通知

Webサイト運営者
検証、対策実施

個人情報の漏えい時は事実関係を公表※JPCERT/CC：一般社団法人
JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所
コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所※JPCERT/CC：一般社団法人 JPCERT

ソフトウェア製品開発者へ脆弱性情報を通知し、調整のうえ、JVNにて公表を行う•POC（Point Of Contact）開設–適切な製品開発者との連絡窓口を開設•製品開発者との調整–脆弱性情報の通知–マルチベンダー調整、公表調整
Copyright © 2019 独立行政法人情報処理推進機構

11

運営体制と役割（ソフトウェア製品開発者）
ユーザ
受付・分析機関

脆弱性対策情報ポータル

対応状況等
公表

報告された
脆弱性関連情報の内容確認・検証

分析支援機関産総研など

セキュリティ対策推進協議会等

脆弱性関連情報通知

Webサイト運営者
検証、対策実施

個人情報の漏えい時は事実関係を公表※JPCERT/CC：一般社団法人
JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所
コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所※JPCERT/CC：一般社団法人 JPCERT

ソフトウェア製品の脆弱性について対策を行い公表を行う•ソフトウェア製品開発者のタイプ–大手製品ベンダー、中小製品ベンダー–ＯＳＳ開発者、個人製品開発者、海外ベンダー•ソフトウェア製品開発者の対応–脆弱性検証（影響の調査、他製品への影響）–JVN公表日の調整、対策方法の作成、周知
Copyright © 2019 独立行政法人情報処理推進機構

12

運営体制と役割（JVN：Japan Vulnerability Notes）
ユーザ
受付・分析機関

脆弱性対策情報ポータル

対応状況等
公表

報告された
脆弱性関連情報の内容確認・検証

分析支援機関産総研など

セキュリティ対策推進協議会等

脆弱性関連情報通知

Webサイト運営者
検証、対策実施

個人情報の漏えい時は事実関係を公表※JPCERT/CC：一般社団法人
JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所
コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所※JPCERT/CC：一般社団法人 JPCERTJVNにて脆弱性対策情報を公表をする•日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供し、情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト。
•本パートナーシップで扱い製品開発者が対策を施した情報や、海外CSIRTから連絡を受けた情報を公表。

Copyright © 2019 独立行政法人情報処理推進機構

13

JVN（Japan Vulnerability Notes）
脆弱性対策情報ポータルサイト

Copyright © 2019 独立行政法人情報処理推進機構

https://jvn.jp/jp/

14

脆弱性届出の状況
 届出受付開始から2018年12月末迄の累計件数
 ソフトウェア製品 4,226件、ウェブサイト 9,866件、合計 14,092件→ １就労日あたり 3.99 件
年間
届出件数

ソフトウェア製品

ウェブサイト3,000件
2,000件1,500件
500件
0件

13,526

11,5072,500件

1,000件

累計
届出件数

累計

173 579
140
33

294
112

9,325
7,314
10,652
5,975
8,170
4,375
1,753
6,482
1,182
315
288

374 2,3911,446 379
231
197
154 128

691
141

671
185

12,922

15,000件

14,092 12,000件
9,000件6,000件

370

142
413
884 1,118271 209 442 1,045 462

238328

2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018

3,000件
0件

図1-2．脆弱性の届出件数の年ごとの推移
脆弱性関連情報届出件数（2018年12月末迄）Copyright © 2019 独立行政法人情報処理推進機構

15脆弱性の修正完了状況
 届出受付開始から2018年12月末迄の累計件数
 ソフトウェア製品 1,936件、ウェブサイト 7,346件、合計 9,282件
年間修正完了件数

ソフトウェア製品

ウェブサイト累計

1,400件

7,712

1,200件

6,127

1,000件
800件
600件
400件
200件
0件

3,055
989 1,654
78 335 627
6711

209
48

209
83

262
1008,809

10,000件

9,282 8,000件

8,261

6,000件

6,900

4,435
5,241

3,808

586 1,322 687
79
79
66

累計完了件数

513
114

694
112

4,000件
759
127

633
140

624

314

188

235

226
322

241
232

2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018

2,000件
0件

図1-3. 脆弱性の修正完了件数の年ごとの推移
脆弱性関連情報の修正完了件数（
2018年12月末迄）Copyright © 2019 独立行政法人情報処理推進機構

16