の回答・AIによるまとめ
回答者は脆弱性を発見したが、IPA経由では報告しなかった。IPAは保護されるべき報告者の立場を保護していないことがあり、提供元の側に強く立っていると感じている。
現在IPAは保護されるべき報告者の立場を保護していない事がある。
責任のある連絡を行えないと思ったのは 提供元への立場に強くたっているから
根拠として、明らかな脆弱性でも報告や調整が行われないことが数多くあること、責任ある開示をした人がIPA側から抗議されることがあることを挙げた。具体的な個別事例の説明はなかった。
明らかな脆弱性なのにもかかわらず報告や調整を行わないということが数多く
不信感の中心は、届け出が受理されたかどうかが分からないブラックボックス状態にある。今後は企業に直接報告する意向である。
欠かせないものは 受理されたかそれとも受理されていないのかというブラックボックスであることが不信感を抱いている
IPAの仕組みは、運用の不透明さが改善されれば良いものになりうると考えている。そのうえで、IPAを通すのは「お願い」であるという位置づけを残すべきだと述べた。
IPAを絶対に通そうという空気感は自由に反している
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
最初に、今回お話しいただける立場として、いちばん近いものを教えてください。
脆弱性を発見したが、IPA経由で報告を行わなかった
脆弱性を見つけたものの、IPA経由では報告しなかった経験について伺います。事業者名やURL、脆弱性の詳細は書かなくて大丈夫です。
そのときの判断に影響した出来事や、印象に残っていることがあれば教えてください。一部だけでも構いません。
現在IPAは保護されるべき報告者の立場を保護していない事がある。 実際に客観的に見てCriticalな脆弱性なのにもかかわらず 責任のある連絡をおこなエないというところに大きな問題があると感じた 実際にこのような脆弱性を公開したひとがこうぎされているなどうんように不透明を感じる
責任のある連絡が行えないと感じたのは、どんな場面や出来事がきっかけでしたか。ご自身の経験でも、見聞きしたことでも構いません。
責任のある連絡を行えないと思ったのは 提供元への立場に強くたっているから
IPAが「提供元への立場に強くたっている」というのは、どういうことですか。制度のどの部分や、どんなやりとりからそう感じたのか教えてください。
具体的に言うと明らかな脆弱性なのにもかかわらず報告や調整を行わないということが数多く 責任のある脆弱性の開示を行ったにも関わらずIPA側からこうぎされるということがあるかあら
ここからは今後のことを伺います。
また似た状況になったら、どんな方法で連絡や対応を進めたいですか。その方法を選ぶうえで大事な条件があれば、あわせて教えてください。
直接企業に報告をする
直接企業に報告するとき、これだけは欠かせないという条件はありますか。たとえば、連絡の窓口や相手の返答、報告後の扱いなど、思いつくものがあれば教えてください。
欠かせないものは 受理されたかそれとも受理されていないのかというブラックボックスであることが不信感を抱いている
今のIPAの届出の仕組みについて、残したい点や変えたい点はありますか。特に大事だと思うものを教えてください。
運用の不透明さを改善すれば良いシステムだと思うがあくまでもIPAを通すのはお願いというところを残す必要がある
IPAを通すのは「お願い」という点を残す必要がある、というのは、具体的にはどういうことですか。
IPAを絶対に通そうという空気感は自由に反している
最後に、ここまでの質問では触れられなかったことで、伝えておきたいことがあれば教えてください。特になければ「ない」で大丈夫です。
ない
ご協力ありがとうございました。率直なご意見を聞かせていただき、大変参考になりました。
これでインタビューを終わります。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。