の回答・AIによるまとめ
回答者はIPA経由で脆弱性を報告した経験があり、受理後の対応が遅いと感じている。具体例は、CVE登録が報告の約1年後になったことである。
脆弱性を報告し、CVEが登録されるのは１年後など
1年の遅れで困ったことはないと述べている。遅さの理由は人手不足だと推測しており、連絡方法は現状のメールのやり取りでよいとしている。
別に困ることはないです。
人手不足なんだろうなと思ってます。現状のメールのやり取りでいいんじゃないですかね。
仕組みへの要望は、トリアージできる人数を増やすことと、国主導でバグバウンティ制度を作ることである。
トリアージできる人数を増やして、国主導でバグバウンティ制度を作ってください！
バグバウンティ制度を求める理由は、攻撃者より先に脆弱性を調査できる点にあると述べている。
攻撃者より先に脆弱性の調査をできるから
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
最初に、今回お話しいただける立場として、いちばん近いものを教えてください。
脆弱性を発見し、IPA経由で報告を行ったことがある
IPA経由で報告されたときのことで、特に印象に残っているやりとりや出来事を教えてください。
最初から最後まで全部でなくて構いません。事業者名やURLなどの詳細は書かなくて大丈夫です。
受理されてから遅い
受理されたあとで遅いと感じたのは、どんな場面でしたか。差し支えない範囲で教えてください。
脆弱性を報告し、CVEが登録されるのは１年後など
CVEの登録まで1年かかったあいだに、実際に困ったことや、ご自身でとった対応はありましたか。
差し支えない範囲で、思い出せることだけで大丈夫です。
別に困ることはないです。
また脆弱性を見つけたとき、どんな方法で連絡や対応を進めたいですか。
場合によって変わる、というお答えでも構いません。
人手不足なんだろうなと思ってます。現状のメールのやり取りでいいんじゃないですかね。
IPAの届出の仕組みについて、残してほしい点や変えてほしい点はありますか。
特に大事だと思うものを一つ挙げていただければ十分です。特にない、というお答えでも構いません。
トリアージできる人数を増やして、国主導でバグバウンティ制度を作ってください！
バグバウンティ制度を、国主導で作ってほしいと思うのはどうしてですか。
差し支えない範囲で、思いつく理由を教えてください。
攻撃者より先に脆弱性の調査をできるから
ここまでお話しいただいたこと以外で、伝えておきたいことはありますか。
特にない、というお答えでも構いません。
ない
お時間をいただき、ありがとうございました。お話しいただいた内容は、今後の検討の参考にさせていただきます。
これでインタビューは終わりです。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。