令和3年度 秋期 応用情報技術者試験 午前 問38
テクノロジ／セキュリティソフトウェア製品の脆弱性を第三者が発見し，その脆弱性を JPCERT コーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち，“情報セキュリティ早期警戒パートナーシップガイドライン（2019 年 5 月）”に照らして適切なものはどれか。
出典：令和3年度 秋期 応用情報技術者試験 午前 問38
- アISMS 認証を取得している場合，ISMS 認証の停止の手続を JPCERT コーディネーションセンターに依頼する。
- イ脆弱性関連の情報を集計し，統計情報として IPA の Web サイトで公表する。
- ウ脆弱性情報の公表に関するスケジュールを JPCERT コーディネーションセンターと調整し，決定する。
- エ脆弱性の対応状況を JVN に書き込み，公表する。
正解：ウ
解説
情報セキュリティ早期警戒パートナーシップガイドラインでは，JPCERT/CC が脆弱性情報の公表日程を製品開発者と調整する調整機関の役割を担います。製品開発者は，脆弱性の検証や対策を行い，公表スケジュールを JPCERT コーディネーションセンターと調整して決定します。
選択肢ごとの解説
- ア誤り。ISMS 認証の停止手続は本ガイドラインとは無関係であり，JPCERT/CC が扱うものでもありません。
- イ誤り。脆弱性関連情報の統計を IPA の Web サイトで公表するのは IPA 側の役割であり，製品開発者の対応ではありません。
- ウ正しい。製品開発者は脆弱性情報の公表スケジュールを JPCERT コーディネーションセンターと調整し，決定します。
- エ誤り。JVN への対応状況の公表は JPCERT/CC が行うものであり，製品開発者が直接 JVN に書き込むのではありません。