の回答・AIによるまとめ
IPA経由で脆弱性を報告した経験があり、窓口対応の遅さと、開発元の機嫌を損ねないように振る舞う姿勢に限界を感じている。個別の出来事についての質問はスキップされ、具体的な事例は語られていない。
IPAの窓口対応は遅く、また基本的に開発元の機嫌を損ねないようにふるまうため、限界を感じている。
バグバウンティのない製品を報告するインセンティブがないと述べている。報酬額ではなく、開発元が脆弱性届出を迷惑がっていないスタンスであることを求めている。
バグバウンティを行っていない製品について報告するインセンティブがない。金額ではなく開発元の理解、という点において。
IPAの人員不足を指摘し、勧告には修正・対応・情報開示について法的拘束力を持たせるべきだとしている。
そもそも圧倒的に人員が足りないはずだ。そして、勧告には強制力を持たせるべきであろう。
企業側に罰則を設ける案には、形骸化の懸念を示している。対応できるベンダーが少なく、AIを使っても発見コストがかかるため、チェックリストを埋めるだけになりかねないという見方である。SCSとJC-STARを例に挙げている。
大半の企業には脆弱性を修正する余力がなく、IPAにも修正させる強制力がない。
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
最初に、今回お話しいただける立場として、いちばん近いものを教えてください。
脆弱性を発見し、IPA経由で報告を行ったことがある
IPA経由で報告された一件で、特に印象に残っているやりとりや出来事を教えてください。
最初から最後まで全部でなくて構いませんし、事業者名などの細かい情報は書かなくて大丈夫です。
この質問はスキップして、次の質問に進みたいです。
分かりました。
今後また脆弱性を見つけたら、どんな方法で連絡や対応を進めたいですか。その方法を選ぶうえで大事な条件があれば、あわせて教えてください。
IPAの窓口対応は遅く、また基本的に開発元の機嫌を損ねないようにふるまうため、限界を感じている。バグバウンティを行っていない製品について報告するインセンティブがない。金額ではなく開発元の理解、という点において。
「金額ではなく開発元の理解」というのは、どういうことですか。差し支えない範囲で、具体的な場面があれば教えてください。
開発元が脆弱性届出を迷惑がっていないスタンスであるということ。
IPAの脆弱性届出の今の仕組みで、残したい点や変えたい点のうち、特に大事だと思うものは何ですか。
そもそも圧倒的に人員が足りないはずだ。そして、勧告には強制力を持たせるべきであろう。
勧告に強制力を持たせるというのは、具体的にどんな状態を想像していますか。
修正・対応・情報開示について、法的拘束力をもったうえでの対応ができる状態。
ここまでのお話で触れられなかったことで、伝えておきたいことはありますか。IPAの届出制度に限らず、自由にお書きください。
大半の企業には脆弱性を修正する余力がなく、IPAにも修正させる強制力がない。となると、企業に脆弱性に対応しない場合の罰則を設けることが考えられるが、脆弱性に真に対応できるベンダーは少なく、AIを導入したといえど発見コストもかかってきてしまうため、表面的なチェックリストを埋めるだけの形骸化（e.g. SCS、JC-STAR）が懸念される。
最後に、罰則や強制力をめぐる懸念まで率直にお話しいただき、ありがとうございました。
いただいたお話は、今後の検討の参考にさせていただきます。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。