V.S.A. III

　台風も進路がそれたみたいで，傘が要らないのはうれしいですねぇ．早く秋晴れになってくれないでしょうか．そうこうしているうちに冬になってしまいます．今日から秋冬物のスーツにしました．

　さて，去る 10 月11日に JISA で作成した脆弱性情報の取り扱いに関するガイダンスの説明会が行われました．私もこのガイダンスの作成に携わったのですが，残念ながら別な用事で出席できませんでした．140名以上の方が出席し，盛況だったようです．

　このガイダンスの正しい名前は 「SI事業者における脆弱性関連情報取扱に関する体制と手順整備のためのガイダンス」 です．これは 9 月 8 日付けで公表されています．10月11日の説明会で使用された「概要」も先日公開されました．

　このガイダンスには

1. SI 事業者は脆弱性関連情報が公表されてから対応を行う．すなわち，公表前に脆弱性関連情報を入手できるわけではない．
2. Web サービスの運営者を通じて IPA から通知が来る．
3. 体制を整備しましょう．

ということが書かれています．

　特に Web サービスを提供しているシステムの SI 事業者は，サービス運営者からの依頼があって初めて， IPA あるいは JPCERT/CC などと連携していくことになります．そのためには，IPA から通知された脆弱性情報をどのように社内で伝達し，対応するのかを平常時に考えておくことが必要です．

カテゴリ：情報セキュリティ

<< 事故の8割が内部犯罪ってほんと？ | Main | Negotiated Privacy >>