開発者のための脆弱性対策情報の公表マニュアル--IPAが公開

　独立行政法人の情報処理推進機構（IPA）は5月30日、「ソフトウェア製品開発者による脆弱性対策情報の公表マニュアル」を含む報告書をとりまとめ、公表した（PDF形式）。

　開発者にとって、利用者に安全なソフトウェアを提供することは、品質に対する信頼確保の観点から重要だが、現実には周到な安全設計のもとに開発された製品であっても、セキュリティ上の弱点（脆弱性）が生じてしまうことがある。

　しかし、過去にリリースした製品に脆弱性が存在することを知りながら、脆弱性対策情報を公表せず、被害が生ずる可能性を隠したり、不十分な内容の公表にとどめたり、虚偽の内容を公表することがあるため、マニュアルを含む報告書を作成、公開した。今回の報告書は、「情報システム等の脆弱性情報の取扱いに関する研究会」において、2006年12月から行われた検討の成果となっている。

　マニュアルには、利用者に必要な情報が的確に届けられることを目的に、開発者が行うべき脆弱性対策情報の望ましい公表手順について、具体的に公表すべき項目と公表例、脆弱性対策情報への誘導方法などを記載している。また、望ましくない公表例なども記載した。

　IPAではこの報告書を、脆弱性関連情報の適切な流通により、コンピュータ不正アクセス、コンピュータウイルスなどによる被害発生を抑制するために、関係者に推奨する行為をとりまとめたガイドライン「情報セキュリティ早期警戒パートナーシップガイドライン」の一部とする予定。