脆弱性情報、勝手に開示しないで　経産省などがクギを刺す　FeliCaの事例念頭か

　経済産業省は9月9日、報道におけるソフトウェアなどの脆弱性情報の取り扱いについて、改めて「情報セキュリティ早期警戒パートナーシップガイドライン」に即した対応を求める声明を出した。8月28日に共同通信が報じた「FeliCa」の事例が念頭にあるとみられる。

　このガイドラインでは、発見された脆弱性情報は関係者の間のみで管理され、検証と対策実施が済んでから公表する手順になっている。脆弱性が悪用される可能性を低減させるための措置だ。

　しかしFeliCaの件では、IPAやソニーが脆弱性に関する情報を公開していなかったにも関わらず、脆弱性の発見者に取材した報道機関が大々的に報じた。発見者は7月に脆弱性について報告していた。

　経産省は、脆弱性の発見者はIPAへの届出を行い、正当な理由がない限り関連情報を第三者に開示しないこと、正当な理由により開示が必要な場合でも、事前にIPAに相談するように求めた。併せて報道機関などに対しても「むやみに第三者に開示することは控えて」とクギを刺している。

　今回の声明は、経産省、国家サイバー統括室、情報処理推進機構（IPA）、JPCERTコーディネーションセンター（JPCERT/CC）の4者連名で公表された。今後はIPA主催の研究会を通じて脆弱性情報の取り扱いについて、「必要な見直しの検討を行っていく」としている。

関連記事

• 

  「Suica」などに採用の「FeliCa」に脆弱性見つかる　それでもソニーが「引き続き安心」とアピールする理由

• 

  Felica脆弱性問題、「楽天Edy」「nanaco」「WAON」「QUICPay」も「安心して使って」と声明

• 

  「FeliCa」の脆弱性で共同通信の報道が波紋　ソニーが公表していなかった“真っ当”な理由とは？

• 

  「ごめん、ティム」──未発表「iPhone 17」用のケースをアクセサリーメーカーが披露もユーザーは冷淡「ソースは？」

• 

  民放5局、BS4Kから撤退か──TBSの資料から浮かび上がる厳しい現状とは？　代わりに浮上した4K配信