Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency Response TeamCoordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan Computer Emergency
Response Team Coordination Center, cn=Japan Computer
Emergency Response Team Coordination Center
日付 : 2017.07.28 16:09:31 +09'00'

JPCERT コーディネーションセンター製品開発者リスト登録規約

JPCERT コーディネーションセンター（以下、「JPCERT/CC」という。）は、「JPCERT/CC」が作成するベンダーリスト（以下、「本リスト」という。）の登録維持条件として、以下の通り規約（以下、「本規約」という。）を定める。

1. 趣旨
ソフトウエアを中心とする情報システム等の脆弱性がコンピュータ不正アクセスやコンピュータウイルス等の攻撃に悪用され、不特定多数のユーザに被害が及ぶ事象が社会問題となっている。そこで、ソフトウエア等に係る脆弱性関連情報等の取り扱いにおいて関係者に推奨する行為を定めることにより、脆弱性関連情報の適切な流通及び対策の促進を図り、コンピュータウイルス、コンピュータ不正アクセス等によって不特定多数の者に対して引き起こされる被害を予防し、もって高度情報通信ネットワークの安全性の確保に資することを目的として、政府は、「ソフトウエア等脆弱性関連情報取扱基準」（平成 16 年経済産業省告示第二百三十五号）を告示した。この取扱基準は、2 度の改正を経て、「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」（平成 29 年経済産業省告示第十九号。以下、「本取扱規程」という。）として告示されている。「JPCERT/CC」では、「本取扱規程」の告示を受け、脆弱性関連情報に関して、ソフトウエア製品を開発した者その他該当ソフトウエア製品の実質的開発者と認められる者（以下、包括して「製品開発者」という。）への連絡及び公表等に係る調整を行うため、「製品開発者」を登録する登録名簿である「本リスト」を作成するものである。

2. 方針
経済産業省告示第十九号に基づき、「JPCERT/CC」、独立行政法人情報処理推進機構（以下、「IPA」という。）及び「製品開発者」が行う脆弱性情報取扱い業務（以下、「本件業務」という。）を、「本取扱規程」に従い、迅速かつ適切に行う目的で「本リスト」を用いる。「本リスト」の利用方法等、具体的な活動内容等については「本取扱規程」、別途定める JPCERT/CC脆弱性関連情報取り扱いガイドラインに準拠する。

3. 登録資格「本リスト」に、名簿登録される者（以下、「本登録者」という。）は、以下の資格を満たす必要がある。
• ｢本取扱規程｣における「製品開発者」に該当すること• 経済産業省告示第十九号を遵守すること• ｢本規約｣を遵守すること• 別途定める JPCERT/CC 脆弱性関連情報取り扱いガイドラインに準拠すること

4. 事務局
事務局は、「JPCERT/CC」事務所内に置く。事務局は以下の業務を行う。
• ｢本件業務｣に係る調整業務• ｢本登録者｣及び登録申請者が登録資格を満たすか否かの審査• ｢本リスト」の作成、維持及び管理-1-5. 秘密情報の取扱いについて｢本件業務｣を行うにあたり、「JPCERT/CC」及び「本登録者」は、以下の通り情報を取り扱うものとする。
5.1 秘密保持義務
1. ｢JPCERT/CC｣及び「本登録者」は、第 5.1.1 条乃至第 5.1.3 条において定義する秘密情報（以下、「秘密情報」という。）について、善良なる管理者の注意をもってその秘密を保持するものとし、本規約において別段の定めのある場合を除き、他の会員または第三者にこれを開示してはならない。
2. ｢本規約｣において「秘密情報」とは、「本取扱規程」における脆弱性関連情報、同対策情報など、「本件業務」に関連して「JPCERT/CC」もしくは「本登録者」が相手方に対し開示し、又は「JPCERT/CC」もしくは「本登録者」が知ることのある相手方の技術上又は営業上の情報であって、次の各号の一のいずれかに該当するものをいう（「秘密情報」を複製、改変又は編集したものを含む。）。
1.

有体物であってその上に秘密である旨が明示された技術資料、図面その他の関係資料等で「JPCERT/CC」もしくは、「本登録者」から相手方に対して交付されたもの、又は「JPCERT/CC」もしくは「本登録者」が指定する電磁的方法により相手方に開示された情報。

2.

口頭または書面で秘密である旨を通した上で、口頭その他の前号以外の方法によって「JPCERT/CC」もしくは「本登録者」から相手方に対して開示された情報。

3. 第 5.1.1 条及び第 5.1.2 条に拘らず、次の各号の一に該当する秘密情報は秘密保持義務の対象たる「秘密情報」から除外する。
1.

第 5.3 条の規程に基づき公表されたもの。

2.

｢JPCERT/CC」及び「本登録者」両者の協議により秘密の指定が取り消されたもの。

3.

相手方より開示を受けた時点において既に公知となっているもの。

4.

相手方より開示を受けた後に自らの故意又は過失によらず公知となったもの。

5.

相手方より開示を受ける前に自ら知得し、又は正当な権限を有する第三者より秘密保持義務を負うことなく正当な手段により入手していたもの。

4. 第 5.1.1 条にかかわらず「本規約」における秘密保持義務は、「秘密情報」に該当する場合であっても、次の各号に該当する場合には適用されない。
1.

第 5.2 条の規定に基づき共有される「秘密情報」に関し開示する場合。

2.

「JPCERT/CC」及び「本登録者」両者協議の上で定めた第三者に対して情報を開示する場合。但し、「JPCERT/CC」及び「本登録者」両者は、開示を行う前に、相手方に対して、当該開示の時期、方法及び手段について協議するために最善の努力をなすものとする。

3.

秘密情報が「JPCERT/CC」もしくは「本登録者」から相手方に対して開示された際に、秘密を保持する期限や秘密を保持する相手などを含む秘密保持に関する条件が別途指定された場合で、当該条件に基づき開示が認められた場合。

-2-

5.2 秘密情報の共有
1.

｢本登録者」は、「本件業務」の遂行を実効あらしめるため、「JPCERT/CC」が米
国カーネギーメロン大学（Carnegie Mellon University）及び米国ペンシルバニア州非営利法人であるソフトウェア・エンジニアリング・インスティテュート（SoftwareEngineering Institute または“SEI”）との間で、「本登録者」の情報を含む「秘密情報」を、別途秘密保持契約を締結の上、共有し、またこれらの者に開示することに同意する。

2.

｢本登録者」は、「本件業務」の遂行を実効あらしめるため、「JPCERT/CC」が「本取扱規程」における脆弱性情報受付機関である IPA との間で、「本登録者」の情報を含む「秘密情報」を、「本取扱規程」に準拠して、共有し、又は開示することに同意する。

3.

｢本登録者」は、上記（1）及び（2）の他「本件業務」の遂行を実効あらしめるため、「JPCERT/CC」が、「本登録者」の情報を含む「秘密情報」を、「本取扱規程」に準拠して上記（1）及び（2）以外の者と共有し、またこれらの者に開示することに同意する。かかる場合、「JPCERT/CC」は、共有又は開示する（1）及び（2）以外の者に関する情報を、利害関係を有する「本登録者」に対して、事前に適切な方法で連絡しなければならない。

5.3 秘密情報の公表「JPCERT/CC」及び「本登録者」は、「JPCERT/CC」及び「本登録者」両者協議により公表することが適当と認めた場合、不特定多数を含む一般公衆に対しては「秘密情報」を公表することが出来る。公表の時期、方法、及び手段については、公表に先立ち両者協議の上で定めるものとする。
5.4 「本登録者」からグループ会社及び外部委託先に対する「秘密情報」の開示について
1．「本登録者」が、グループ会社に対して「秘密情報」を開示する場合は、秘密保持契約を締結するものとする。
2．「本登録者」が「秘密情報」の取扱いの全部または一部を外部へ委託する場合の委託先に対する「秘密情報」の開示を行う場合には、「本登録者」は、当該外部委託先リストを「JPCERT/CC」に提出し、「JPCERT/CC」を通じて開示しなければならず、「本登録者」自ら外部委託先に「秘密情報」を開示してはならない。
「JPCERT/CC」は、外部委託先のリストを受領した場合、「本登録者」に識別番号を与え、「本登録者」は、外部委託先の担当者に、識別番号を伝えて「JPCERT/CC」に電話もしくはメールで外部委託先から直接連絡を行うことを伝えるものとする。
「JPCERT/CC」は外部委託先から連絡を受けた場合、外部委託先に対し直接連絡を行い、外部委託先は、必要な手続きを経て「秘密情報」を受領するものとする。
3．「本登録者」からグループ会社に「秘密情報」を開示する場合及び「本登録者」の提出するリストに従って「JPCERT/CC」が外部委託先に開示する場合には、「本登録者」の責任において行うこととする。
5.5 「秘密情報」の使用目的｢JPCERT/CC」及び「本登録者」は、対策情報作成など「本件業務」の目的に限定して「秘密情報」を使用するものとし、「秘密情報」の取扱いは「本件業務」に従事する者に限定-3-するものとする。事前の書面による承諾を得ることなく、相手方の「秘密情報」を「本件業務」以外の目的に使用してはならない。
5.6 ｢本登録者｣は、「本規約」に基づき行う「JPCERT/CC」に対する「秘密情報」の開示に、第三者の「秘密情報」が含まれる場合には、第三者の「秘密情報」の開示に伴う一切の責任を負う。

6. 免責｢本件業務」を行うにあたり、「JPCERT/CC」もしくは「本登録者」は、その善良なる管理者の注意を以ってしても発生を抑止し得なかった損害については、「本規約」に別段の定めがない限り、相手方に対して何ら責任を負わないものとする。

7. 発効日｢本規約」は、「本登録者」が登録申込書を事務局に提出し、事務局が登録を認め、「本リスト」に「本登録者」を登録し、「本登録者」にその旨を通知した日から発効する。

8. 有効期限｢本規約｣は「本登録者」の脱退まで有効とする。

9. 脱退｢本登録者」は、書面で脱退を通知することにより随時、「本リスト」より脱退することができる。脱退は「JPCERT/CC」が書面を受領した日より 30 日経過後に効力を発する。また、「JPCERT/CC」は、「本登録者」が「本規約」のいずれかの条項に違反する等「本登録者」の登録資格を維持するのが適切ではないと判断した場合、「本登録者」を脱退扱いとし、「本リスト」から除外することができる。「JPCERT/CC」及び「本登録者」は、脱退後 3 年間、「本規約」に基づく秘密保持義務を継続して負うこととする。

10. 登録料登録料は無料とする。

11. 罰則「JPCERT/CC」は、「本登録者」が「本規約」の全部又は一部に違反した場合には、「本登録者」への「秘密情報」の提供を制限できるものとする。

-4-

12. 条項の変更「JPCERT/CC」は、すべての「本登録者」に意見を求めた上で、「本規約」の内容を変更できる。変更された規約は本 Web サイトで公開された時から発効し、特段の申し出がない限り「本登録者」は変更された規約を承諾したものとみなす。
以上-5-

以上の「本規約」の内容に合意し、「本リスト」への登録を申請します。

平成年月日

会社名
住所
電話番号
電子メールアドレス
責任者
署名（もしくは捺印）-6-