脆弱性情報、勝手に開示しないで 経産省などがクギを刺す FeliCaの事例念頭か

[ITmedia]

　経済産業省は9月9日、報道におけるソフトウェアなどの脆弱性情報の取り扱いについて、改めて「情報セキュリティ早期警戒パートナーシップガイドライン」に即した対応を求める声明を出した。8月28日に共同通信が報じた「FeliCa」の事例が念頭にあるとみられる。

「情報セキュリティ早期警戒パートナーシップガイドライン」（出典：IPA）

　このガイドラインでは、発見された脆弱性情報は関係者の間のみで管理され、検証と対策実施が済んでから公表する手順になっている。脆弱性が悪用される可能性を低減させるための措置だ。

　しかしFeliCaの件では、IPAやソニーが脆弱性に関する情報を公開していなかったにも関わらず、脆弱性の発見者に取材した報道機関が大々的に報じた。発見者は7月に脆弱性について報告していた。

　経産省は、脆弱性の発見者はIPAへの届出を行い、正当な理由がない限り関連情報を第三者に開示しないこと、正当な理由により開示が必要な場合でも、事前にIPAに相談するように求めた。併せて報道機関などに対しても「むやみに第三者に開示することは控えて」とクギを刺している。

「FeliCa」を採用したJR東日本のIC乗車カード「Suica」

　今回の声明は、経産省、国家サイバー統括室、情報処理推進機構（IPA）、JPCERTコーディネーションセンター（JPCERT/CC）の4者連名で公表された。今後はIPA主催の研究会を通じて脆弱性情報の取り扱いについて、「必要な見直しの検討を行っていく」としている。

経産省の声明