正解：ア
各選択肢の解説
アIPAに脆弱性関連情報として届け出て、JPCERT/CCによる開発者との調整に委ねる。
正解。ソフトウェア等の脆弱性関連情報に関する届出制度では、IPAが届出を受け付け、 ソフトウェア製品の場合はJPCERT/CCが開発者と調整します。対策が整ってから JVNで公表されるので、利用者を危険にさらさずに直してもらえます。
イJPCERT/CCに脆弱性関連情報を届け出て、IPAによる開発者との調整を待つ。
誤り。受付と調整の役割が逆です。IPAが届出の受付機関、JPCERT/CCが調整機関です。 どちらも同じ制度に関わり、JVNも共同で運営しているので取り違えやすいのですが、 「受け付けるIPA、つなぐJPCERT/CC」と覚えると区別できます。
ウコンピュータ不正アクセス届出制度に基づき、IPAに被害の届出を行う。
誤り。コンピュータ不正アクセス届出制度は、不正アクセスの被害（未遂を含む）を 届け出て、実態の把握と再発防止に役立てる制度です。届出先が同じIPAなので 混同しやすいのですが、この場面はアクセスが起きたのではなく、弱点を見つけた段階です。
エ他の利用企業が早く気づけるよう、脆弱性の内容をすぐにSNSで公表する。
誤り。修正の手段がないまま公表すると、攻撃者に悪用の手がかりを与え、 利用者全体が危険にさらされます。善意の注意喚起でも逆効果です。届出制度は、 開発者が対策を用意してから公表されるよう調整するための仕組みです。
理解を深めるために
見つけた弱点は「受付」と「調整」の窓口へ
脆弱性を見つけたときに大事なのは、直す人に確実に伝わり、直る前に悪用されないことです。 落とし物にたとえると、拾ったものを交番に届けると、交番が持ち主を探して返してくれます。 いきなり掲示板に「ここに財布が落ちていた」と書き込むと、持ち主より先に 悪い人が取りに行くかもしれません。
届出制度の流れ
経済産業省の告示に基づく「ソフトウェア等の脆弱性関連情報に関する届出制度」では、 役割が次のように分かれています。
- IPA: 発見者からの届出を受け付ける（受付機関）
- JPCERT/CC: ソフトウェア製品の場合、開発者に連絡して対策の調整を行う（調整機関）
- JVN: 開発者の対策が整ったあと、脆弱性と対策の情報を公表する
ウェブサイト（ウェブアプリケーション）の脆弱性の場合は、IPAがサイトの運営者へ連絡します。 製品か、特定のサイトかで調整の担い手が変わる点も押さえておきましょう。
混同しやすいものとの違い
| 制度・対応 | 何を届けるか（どうするか） | 窓口 |
|---|---|---|
| 脆弱性関連情報の届出 | 見つけた弱点 | IPAが受付、JPCERT/CCが調整 |
| 受付と調整を逆にした届出 | 同上 | 役割が逆で誤り |
| コンピュータ不正アクセス届出 | 不正アクセスの被害（未遂を含む） | IPA |
| SNSでの即時公表 | 未対策の弱点を広く知らせる | 窓口なし（悪用の危険） |
試験では「被害が起きたのか、弱点を見つけたのか」で届出の種類を選び、 脆弱性なら「受付はIPA、調整はJPCERT/CC」の組合せで判断します。