の回答・AIによるまとめ
報告から受理判断、開発者への連絡開始までの遅さに不満がある。変えてほしい運用上の問題としては、これを最優先に挙げた。
報告送信から受理不受理の判断、開発者への連絡開始が遅すぎる。
「情報非開示依頼」は一方的で、法的義務のない依頼にすぎないと考えている。応じなかったことで批判声明を出されたことを不当とし、関係4機関に抗議声明を出した。
これはその名の通り依頼であって、脆弱性発見者を拘束するものではない。
今後はIPAを介さない報告手段を選びたい。IPAとJPCERT/CCは開発者の利益に偏重していると見ており、報告者の利益を尊重する機関・システムを使いたいとしている。
できるだけ IPA を介する手段以外を使って報告する。
報告者の利益が尊重されているかは、迅速な処理、一方的な非開示依頼をしないこと、開発者側に立って報告者を批判しないことで判断するとした。手続きの流れ自体は残してよく、問題は運用にあるという立場である。
手続きの流れそのものよりも運用に問題があるので、現在の手続きの流れ自体は残したほうが良い。
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
最初に、今回お話しいただける立場として、いちばん近いものを教えてください。
脆弱性を発見し、IPA経由で報告を行ったことがある
IPA経由で報告されたご経験の中で、特に印象に残っているやりとりや出来事を教えてください。最初から最後まで全部でなくて構いません。
事業者名やサイト名、脆弱性の詳細などは書かなくて大丈夫です。
報告送信から受理不受理の判断、開発者への連絡開始が遅すぎる。一方的な「情報非開示依頼」の運用に不満がある。法的に定められた義務でないのにもかかわらず、これに応じなかったからと言って事実上の批判声明を出された。https://www.ipa.go.jp/security/renkei/rk20250909.html, https://blog.nyaa.ws/2026/07/felica-%e3%81%ae%e8%84%86%e5%bc%b1%e6%80%a7%e5%85%ac%e8%a1%a8%e3%81%ab%e3%81%a4%e3%81%84%e3%81%a6/
リンクなどの詳細は、これ以上書いていただかなくて大丈夫です。
情報非開示依頼に応じなかった後に声明が出されたとき、どう受け止めて、その後どうされましたか。
セキュリティ早期警戒パートナーシップガイドラインにおける「発見者に対する情報非開示依頼」を絶対的なものであり、あたかも法令のように捉える者もインターネット上では散見されるが、明らかに誤りである。これはその名の通り依頼であって、脆弱性発見者を拘束するものではない。にも拘らず、脆弱性発見者がこれに反したからと言って、このような声明を発出することは不当である。経済産業省・独立行政法人情報処理推進機構・一般社団法人 JPCERT コーディネーションセンター・国家サイバー統括室に対する抗議声明を出した。
今後また脆弱性を見つけたら、連絡や対応をどんな方法で進めたいですか。
その方法を選ぶうえで大事にしたい条件があれば、あわせて教えてください。
できるだけ IPA を介する手段以外を使って報告する。開発者の利益に偏重する IPA, JPCERT/CC ではなく報告者の利益を尊重する機関・システムを利用する。
報告者の利益が尊重されているかどうかは、どんな点を見て判断しますか。たとえば、報告から公表までの進め方や、やりとりの中で報告者が決められる範囲などでも、それ以外でも構いません。
迅速な案件の処理を行う。一方的な「情報非開示依頼」を行わない。製品開発者の立場に立って報告者への批判を行わないなど。
今のIPAの仕組みの中で、残したほうがよいと思う点はありますか。
特になければ「ない」とお答えいただいても構いません。
手続きの流れそのものよりも運用に問題があるので、現在の手続きの流れ自体は残したほうが良い。
これまでに挙げていただいた運用上の問題のうち、いちばん優先して変えてほしいものはどれですか。
案件処理の遅さ。
ここまでのお話で触れられなかったことで、伝えておきたいことはありますか。
特になければ「ない」とお答えいただいても構いません。
なし。
お話しいただきありがとうございました。いただいたご経験とご意見は、今後の検討の参考にさせていただきます。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。