2019-05-30一般公表前の脆弱性関連情報は、ソフトウェア/ハードウエアシステム等におけるセキュリティ上の欠陥に係わる情報であり、その取扱には細心の注意を要します。脆弱性関連情報の取扱を脆弱性情報ハンドリングと呼んでいます。脆弱性情報ハンドリングとは、公表前の脆弱性関連情報を必要に応じて公開することで、脆弱性情報の悪用、または障害を引き起こす危険性を最小限に食い止めるためのプロセスです。同時に、製品開発者に加えて海外の関係機関とも連携し、脆弱性関連情報を全世界で同時に公表するために、一般公表日を調整します。」に基づき、ソフトウエア製品に係る脆弱性情報の公表など、脆弱性関連情報の取扱いを進めています。HTML過去のガイドラインの変更点については、IPAの資料をご覧ください。パートナーシップを締結し、脆弱性関連情報を安全かつ適切に取り扱うことを目的とし、一般公開日までの調整を行う協力関係を国際的に構築しています。海外セキュリティチームに報告される脆弱性情報について、事前に共有し、影響を受ける日本のベンダを特定し、情報の事前連絡、対応を依頼、公開スケジュールの調整をします。一般公表前の脆弱性関連情報をハンドリングする場合、脆弱性への対策方法が整わない時点で、脆弱性関連情報が一般に公表または悪意のある第三者に漏洩すると、悪意のあるコード(攻撃コード)が開発され、流通し、脆弱性の影響を受けるシステムに対する攻撃が始まる可能性があります。結果として製品利用者に被害が及ぶ事態を招く可能性があります。複数の製品が影響を受ける脆弱性の場合には、情報の公表に当たって、関係者間で一定の足並みをそろえることが重要です。関係者間で調整した一般公表日時を待たずに、単独で情報を公表することは、他社の製品利用者を危険にさらす可能性があります。海外機関との国際的な調整案件においては、情報開示の時期を誤った場合(一般公表日前に単独での情報公開を行った場合)、海外機関によって当該開発者を今後の脆弱性関連情報のハンドリングから外す措置が取られることがあります。