TOPIC 01
IPAなどの脆弱性報告窓口において、報告から結果連絡やCVE登録までに半年から1年以上かかるなど、対応の遅さが指摘されています。受理状況や進捗が外部から把握できないため、早期のトリアージ連絡やタイムラインの開示、定期的な状況共有が求められています。対応が遅れる間に第三者に先を越され、クレジットを逃してしまうことへの不満も挙がっています。
15件の意見・10件の会話から
“ハンドリングプロセスのタイムライン開示を優先したい。情報セキュリティ早期警戒パートナーシップ運用の限界は、届出の経験がある人は知っているはずだが、外部には周知されていないため改善に要する外圧が期待できない。タイムラインを開示することで、情報セキュリティ早期警戒パートナーシップの関係者が責任を持って遂行できるようにしたい。”
要約初期連絡から公開までの処理工程のタイムラインを開示し、関係者が責任を持って対応を進めるよう促す仕組みが必要である。
この発言を会話の中で読む“対応に時間がかかっている場合はたまには経過を伝えてくれると嬉しいです”
要約脆弱性への対応に時間がかかっている場合は、途中で経過を伝えてほしいと求めている。
この発言を会話の中で読む“おそらく人手不足で脆弱性をさばけていないように想像しています。AIのなかった数年前でその状態なら、今はより足りていないでしょう。”
要約脆弱性の処理にあたる人手が不足しており、現在ではさらに対応が追いつかなくなっていると捉えている。
この発言を会話の中で読む“1~3営業日以内でトリアージの連絡（脆弱性とみなすかの判断）が来る”
要約報告受付後の即応性として、1〜3営業日以内に脆弱性と判断するかどうかのトリアージ連絡を希望している。
この発言を会話の中で読む“これは、JPCERT/CCが製品開発者へ脆弱性関連情報を提供する以前に脆弱性が修正されたということであるため、IPAまたはJPCERT/CCで対応の遅延が発生していたことを意味する。また、その結果CVEのクレジットを損なう結果となった”
要約IPAやJPCERT/CCの対応遅延により、届け出た脆弱性が第三者の報告によって先に修正され、CVEクレジットを獲得する機会を失った。
この発言を会話の中で読む意見の抽出・分類はAIによる自動処理のため、誤りを含む場合があります。表示しているのは、回答者が公開に同意した意見のみです。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。