の回答・AIによるまとめ
回答者はIPA経由で脆弱性を報告した際、半年〜1年待たされ、その間も自分から状況確認を続けた。最終的に事業者への報告のみで脆弱性番号等の付与はないと告げられ、脆弱性対応として成立していないと感じた。別の報告が受理されたこともあるが、スピード感は遅かったという。
半年〜1年程度待たされた（その間も状況確認をこちらから定期的にする必要があった）挙句、「事業者へは報告したが脆弱性番号等の付与等はない」との連絡を受けた。
今後に望むのは、調整機関の即応性と進捗の見えやすさである。「早い」の目安は1〜3営業日以内のトリアージ連絡で、滞留の理由（機関側の容量か、事業者側の待ちか）も知りたいという。IPAが即応的になるならそれでもよいとしている。
1~3営業日以内でトリアージの連絡（脆弱性とみなすかの判断）が来る
現行の仕組みで残してほしい点は「あまりない」とし、改善要望として報告対象の制約と報告方法を挙げた。「日本国内で使われる」などの制約が多く、非該当になる場合がある。報告はメールで行っており、フォーム等の整備と、AIによるトリアージを想定できる形式を希望している。
報告対象、「日本国内で使われる」などの制約が多すぎて、それ故の非該当もある。
最後に、突出した個人だけでなく調整機関の厚みと信頼性という土台の整備も必要だと述べた。
トップガンも大事であるが、こういう調整機関の厚み・信頼性も重要。
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
最初に、今回お話しいただける立場として、いちばん近いものを教えてください。
脆弱性を発見し、IPA経由で報告を行ったことがある
IPA経由で報告されたなかで、特に印象に残っているやりとりや出来事を教えてください。
最初から最後まで全部でなくて構いません。
半年〜1年程度待たされた（その間も状況確認をこちらから定期的にする必要があった）挙句、「事業者へは報告したが脆弱性番号等の付与等はない」との連絡を受けた。 このスピードだと脆弱性対応として成立していないと感じた。
その連絡を受けたあと、どうされましたか。
「そうですか」という旨の返答をして終わり。 別の脆弱性報告は受理されたこともあるが、いずれにしてもスピード感は遅かった
今後また脆弱性を見つけたとき、どんな方法で連絡や対応を進めたいですか。IPA経由でも、それ以外でも構いません。
調整機関が間に入ってくれること自体はありがたいが、もっと即応性のある組織が良い（IPAがそうなるならばそれはそれで良い）。 また、経過状況も可視化されていてほしい。単に機関側のキャパシティがなくて内容確認が進んでいないのか（おそらくそうだと思うが）、事業者側での対応・連絡待ちなのか。
即応性のある組織というのは、報告してからどのくらいの期間で、どんな連絡があれば「早い」と感じますか。
1~3営業日以内でトリアージの連絡（脆弱性とみなすかの判断）が来る
今のIPAの仕組みについて、これは残してほしいという点はありますか。
変えたい点でも、特に大事だと思うものがあれば教えてください。
残してほしい点はあまりない。 改善要望は以下。 スピードについては上述の通り。 報告対象、「日本国内で使われる」などの制約が多すぎて、それ故の非該当もある。ここもなんとかしてほしい。 報告の方法が（今はどうか分からないが少なくとも私が報告していた数度は）メールというなんともな方式。 もう少しフォーム等を整備してほしい。 受け手側でもAIを使ったトリアージをしているだろうなと思える形式を希望する。
ここまでのお話で触れていないことで、伝えておきたいことはありますか。
なければ「特にない」で構いません。
トップガンも大事であるが、こういう調整機関の厚み・信頼性も重要。 飛び道具だけじゃなく、土台の整備も進むと良い。
スピードや報告方法、制度の土台まで、率直にお話しいただきありがとうございました。
これでインタビューは終了です。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。