TOPIC 07
脆弱性の放置を防ぐため、現行の開示条件を短縮するルールや、修正と情報開示を義務付ける法的な罰則の導入が求められています。あわせて、脆弱性の発見を促すために報告者へ報酬を支払う仕組みの導入も挙げられています。一方で、企業の対応余力が不足していれば、義務化しても表面的な対応にとどまり形骸化する恐れが指摘されています。
4件の意見・3件の会話から
“報告しても修正してくれないなら、意味がない。必ず対応してもらうとか罰則があるとか 報告側に一切メリットがないので、報酬があるとか”
要約報告された脆弱性への対応を義務付ける罰則や、報告者への報酬といった仕組みが必要だと考えている。
この発言を会話の中で読む“修正・対応・情報開示について、法的拘束力をもったうえでの対応ができる状態。”
要約脆弱性の修正や対応、情報開示について、法的な拘束力を持たせるべきだと考えている。
この発言を会話の中で読む“大半の企業には脆弱性を修正する余力がなく、IPAにも修正させる強制力がない。となると、企業に脆弱性に対応しない場合の罰則を設けることが考えられるが、脆弱性に真に対応できるベンダーは少なく、AIを導入したといえど発見コストもかかってきてしまうため、表面的なチェックリストを埋めるだけの形骸化（e.g. SCS、JC-STAR）が懸念される。”
要約企業に脆弱性対応の余力がない中で未対応への罰則を設けても、対応できるベンダーが少なく表面的な対応に形骸化する恐れがある。
この発言を会話の中で読む“現行の制度では起算日から1年の経過をもって脆弱性の開示が可能になるが、「90+30日ルール」等のより早期の開示が可能となる仕組みを導入してほしい”
要約現行の起算日から1年経過という開示条件を見直し、90+30日ルールなどより早期に脆弱性を開示できる仕組みの導入を求めている。
この発言を会話の中で読む意見の抽出・分類はAIによる自動処理のため、誤りを含む場合があります。表示しているのは、回答者が公開に同意した意見のみです。
「IPAの脆弱性届出制度についてお聞かせください」は募集中です。約15分で、AIが聞き手になってあなたの考えをうかがいます。