令和3年度 秋期 午前 問38

✓ これが正解ウ脆弱性情報の公表に関するスケジュールを JPCERT コーディネーションセンターと調整し，決定する。

解説

開発者は公表の時期を調整機関と擦り合わせます。

設問は、第三者が見つけた脆弱性が調整を担う機関から製品開発者へ伝えられた場面で、その製品開発者が取る対応を四通りの中から選ばせています。この枠組みでは、届出を受け付ける役、間を取り持つ役、修正する役が分かれているので、どの記述ももっともらしく見えても、主語が誰かで切り分けられます。ですから見分けの軸は、その対応が、修正する立場の側の受持ちに当たるかどうか、という一点だけです。修正する側が担うのは、直したものを用意したうえで、いつ公にするかを間に立つ機関と擦り合わせて決めることです。手当てより先に事実だけが広まると、攻撃する側にだけ利が生まれます。

ほかの選択肢はなぜ違うのか

• アISMS 認証を取得している場合，ISM…：認証の停止という筋の違う手続を持ち出しています。弱点が見つかったことと認証の扱いは直接結び付きませんし、その手続を間に立つ機関へ依頼するという道も用意されていません。
• イ脆弱性関連の情報を集計し，統計情報として…：集計した結果を公表するという内容ですが、これは届出を受け付ける側の機関が担う仕事です。修正する立場の側が自ら数を集計して公表の場に載せる、という役割分担にはなっていません。
• エ脆弱性の対応状況を JVN に書き込み，…：公表のための場へ直接書き込むという内容です。その場は届出を受け付ける機関と間に立つ機関が共同で運営しており、載せる作業まで修正する立場の側が行うわけではありません。