令和3年度 秋期 応用情報技術者試験 問38

解説

正解は3です。 この問題は、情報セキュリティ早期警戒パートナーシップガイドラインにおける、ソフトウェア製品の脆弱性発見時の製品開発者の対応を問うています。 この制度では、発見者がIPA（情報処理推進機構）に届け出て、JPCERTコーディネーションセンター（JPCERT/CC）が製品開発者との調整を行います。 【選択肢別解説】 1：× ISMS認証の手続は、この制度とは関係がありません。 JPCERT/CCは調整機関であり、ISMS認証を停止する機関ではないので誤りです。 2：× 届出の状況を集計して統計情報として公表するのは、IPAとJPCERT/CCの役割です。 製品開発者が統計情報をIPAのWebサイトで公表するわけではありません。 3：○ 製品開発者は、脆弱性情報の公表スケジュールをJPCERT/CCと調整して決定します。 対策が整う前に情報が広まらないよう、公表日を調整してから対策情報とともに公表するのがこの制度の考え方です。 4：× JVN（Japan Vulnerability Notes）へ脆弱性対策情報を掲載するのは、IPAとJPCERT/CCです。 製品開発者は対応状況をJPCERT/CCに通知し、その内容がJVNで公表されます。 【ポイント】 受付機関はIPA、調整機関はJPCERT/CC、公表の場はJVNという役割分担を押さえましょう。 製品開発者の主な役割は、脆弱性の検証、対策方法の作成、公表日の調整です。