平成22年度春期 情報処理安全確保支援士 午前Ⅱ 問6

セキュリティの弱点（脆弱性）の報告を受け取った窓口（IPAなど）は、発見者へ「受け取ったよ」と連絡する

セキュリティの脆弱性を発見した時の届出と取扱いのルールについての問題だよ。一般の人がシステムやソフトウェアの脆弱性を見つけた時、IPA（情報処理推進機構）などの「公的な受付機関」に届け出るんだ。この受付機関は、報告された弱点について開発元に修正を依頼するなどの手続きを調整し、その進捗や開発元から修正が終わったという連絡を受けた際には、発見した人（発見者）にその旨を遅滞なく連絡するルールになっているよ。

この問題で問われていること

受付機関の公式な役割として、「開発元から脆弱性の修正完了などの通知を受け取った後、発見者へ速やかにその通知を伝える」という情報連携の流れを正しく理解しているかを見極めよう。

受付機関の役割

受付機関は発見者と運営者の間に立って調整します。発見者情報をむやみに渡さず、修正状況をつなぐことが大切です。

届出受付\n運営者へ連絡・調整\n修正通知を受けたら発見者へ共有

確認ポイント

• 発見者の氏名や連絡先を、そのまま運営者へ通知するのは不適切です。
• 漏えいなどが起きた事実を公表しない、という説明も不適切です。
• 修正済み通知を発見者へ速やかに伝える説明を選びます。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。受付機関は、発見者の氏名や連絡先を、本人の同意なしにWebサイト運営者へ教えてはいけないんだ。たとえるなら、落とし物を届けた人の住所や電話番号を、勝手に落とし主へ渡さないのと同じだよ。

選択肢イ

これは間違いだよ。個人情報の漏えいなどが起きた場合は、被害を広げないために、可能な範囲で事実関係を公表するなどの対応が必要なんだ。たとえるなら、お店の裏口の鍵が壊れて泥棒に入られたのに、お客さんへ何も知らせないのは危ないよね。

選択肢ウ

これは正解だよ。受付機関は、脆弱性を見つけて知らせてくれた人に対して「運営者がちゃんと修理したよ」と伝える役目があるんだ。たとえるなら、壊れた鍵を見つけて管理会社に知らせた人へ、管理会社が「鍵の交換が終わりました」と報告する感じだね。

選択肢エ（正解）

これは間違いだよ。受付機関は、脆弱性の届出状況などを公表して、同じような被害を防ぐために役立てるんだ。不安にさせないために全部隠す、という考え方ではないよ。たとえるなら、近所で空き巣が増えているなら、注意喚起した方がみんな戸締まりしやすいよね。