独立行政法人の情報処理推進機構(IPA)は5月30日、「ソフトウェア製品開発者による脆弱性対策情報の公表マニュアル」を含む報告書をとりまとめ、公表した(PDF形式)。
開発者にとって、利用者に安全なソフトウェアを提供することは、品質に対する信頼確保の観点から重要だが、現実には周到な安全設計のもとに開発された製品であっても、セキュリティ上の弱点(脆弱性)が生じてしまうことがある。
しかし、過去にリリースした製品に脆弱性が存在することを知りながら、脆弱性対策情報を公表せず、被害が生ずる可能性を隠したり、不十分な内容の公表にとどめたり、虚偽の内容を公表することがあるため、マニュアルを含む報告書を作成、公開した。今回の報告書は、「情報システム等の脆弱性情報の取扱いに関する研究会」において、2006年12月から行われた検討の成果となっている。
マニュアルには、利用者に必要な情報が的確に届けられることを目的に、開発者が行うべき脆弱性対策情報の望ましい公表手順について、具体的に公表すべき項目と公表例、脆弱性対策情報への誘導方法などを記載している。また、望ましくない公表例なども記載した。
IPAではこの報告書を、脆弱性関連情報の適切な流通により、コンピュータ不正アクセス、コンピュータウイルスなどによる被害発生を抑制するために、関係者に推奨する行為をとりまとめたガイドライン「情報セキュリティ早期警戒パートナーシップガイドライン」の一部とする予定。
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ものづくりの革新と社会課題の解決
ニコンが描く「人と機械が共創する社会」
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス
「程よく明るい」照明がオフィスにもたらす
業務生産性の向上への意外な効果