HOME 情報セキュリティ情報セキュリティ対策脆弱性対策ソフトウェア等の脆弱性関連情報に関する届出状況[2016年第2四半期（4月～6月）]

ソフトウェア等の脆弱性関連情報に関する届出状況[2016年第2四半期（4月～6月）]

掲載日　2016年7月21日
独立行政法人情報処理推進機構
技術本部セキュリティセンター

以下は、「ソフトウェア等の脆弱性関連情報の取扱いに関する届出状況」1章の抜粋です。

1. 2016年第2四半期　ソフトウェア等の脆弱性関連情報に関する届出状況

1-1. 脆弱性関連情報の届出状況

　～脆弱性の届出件数の累計は12,425件～

　表1-1は本制度^（*1）における届出状況です。2016年第2四半期の脆弱性関連情報（以降「脆弱性」）の届出件数、および届出受付開始（2004年7月8日）から今四半期までの累計を示しています。今期のソフトウェア製品に関する届出件数は690件、ウェブアプリケーション（以降「ウェブサイト」）に関する届出は63件、合計753件でした。届出受付開始からの累計は12,425件で、内訳はソフトウェア製品に関するもの3,162件、ウェブサイトに関するもの9,263件でウェブサイトに関する届出が全体の約7割を占めています。

　図1-1のグラフは過去3年間の届出件数の四半期ごとの推移を示したものです。今四半期は前期同様、ソフトウェア製品に関する届出がウェブサイトに関する届出よりも多数を占めました。表1-2は過去3年間の四半期ごとの届出の累計および1就業日あたりの届出件数の推移です。今四半期の1就業日あたりの届出件数は4.26^（*2）件でした。

表1-1．届出件数
分類	今期件数	累計件数
ソフトウェア製品	690 件	3,162 件
ウェブサイト	63 件	9,263 件
合計	753 件	12,425 件

図1-1. 脆弱性関連情報の届出件数の四半期ごとの推移

表1-2．届出件数（過去3年間）
	2013		2014				2015				2016
	3Q	4Q	1Q	2Q	3Q	4Q	1Q	2Q	3Q	4Q	1Q	2Q
累計届出件数 [件]	9,022	9,321	9,511	9,839	10,171	10,648	10,895	11,057	11,270	11,488	11,672	12,425
1就業日あたり [件/日]	4.00	4.03	4.01	4.04	4.07	4.16	4.16	4.13	4.11	4.11	4.17	4.26

1.2. 脆弱性の修正完了状況

　～ソフトウェア製品およびウェブサイトの修正件数は累計7,998件～

　表1-3は今四半期、および届出受付開始から今四半期までのソフトウェア製品とウェブサイトの修正完了件数を示しています。ソフトウェア製品の場合、修正が完了するとJVNに公表しています（回避策の公表のみでプログラムの修正をしていない場合を含む）。

　今四半期にJVN公表したソフトウェア製品の件数は76件^（*3）（累計1,257件）でした。そのうち、18件は製品開発者による自社製品の脆弱性の届出でした。なお、届出を受理してからJVN公表までの日数が45日^（*4）以内のものは39件（51%）でした。

　また、修正完了したウェブサイトの件数は78件（累計6,741件）でした。これらは届出を受け、IPAがウェブサイト運営者に通知を行い、今四半期に修正を完了したものです。修正を完了した78件のうち、ウェブアプリケーションを修正したものは55件（71%）、当該ページを削除したものは23件（29%）で、運用で回避したものは0件でした。なお、修正を完了した78件のうち、ウェブサイト運営者へ脆弱関連情報を通知してから90日^（*5）以内に修正が完了したものは38件（49%）でした。今四半期は、90日以内に修正完了した割合が、前四半期（98件中46件（47%））より増加しています。

表1-3．修正完了（JVN公表）
分類	今期件数	累計件数
ソフトウェア製品	76 件	1,257件
ウェブサイト	78件	6,741 件
合計	154件	7,998 件

1.3. 連絡不能案件の取扱状況

　本制度では、連絡が取れない製品開発者を「連絡不能開発者」と呼び、連絡の糸口を得るため、当該製品開発者名等を公表して情報提供を求めています^（*6）。製品開発者名を公表後、3ヵ月経過しても製品開発者から応答が得られない場合は、製品情報（対象製品の具体的な名称およびバージョン）を公表します。それでも応答が得られない場合は、情報提供の期限を追記します。情報提供の期限までに製品開発者から応答がない場合は、当該脆弱性情報の公表に向け、「情報セキュリティ早期警戒パートナーシップガイドライン」に定められた条件を満たしているかを公表判定委員会^（*7）で審議します。公表が適当と判定された脆弱性情報はJVNに公表されます。

　今四半期は、新たに13件について連絡が取れない製品開発者名を公表しました。また1件について製品開発者と連絡が取れ調整を再開しました。また、公表判定委員会での審議を経て、脆弱性情報がJVNに公表されたものはありませんでした。

　2016年6月末時点の連絡不能開発者の累計公表件数は242件、その内製品情報を公表しているものは209件となりました。