情報処理推進機構（IPA）は14日、ソフトウェアの欠陥（脆弱性）の届出を受け付ける「情報セキュリティ早期警戒パートナーシップ」について、運用ルールであるガイドラインの改訂案を公開した。10月1日に施行されるサイバー対処能力強化法を踏まえ、届け出られた脆弱性のうち一定のものを内閣府へ通知する流れを新たに加える。改訂案への意見を24日まで受け付ける。

通知の対象は「悪用の確認・疑い」と「深刻度が高く影響が広い」

改訂案の説明資料には、内閣府からIPAとJPCERTコーディネーションセンター（JPCERT/CC）に出される要請の案文が掲載されている。それによると、IPAが内閣府へ通知するのは、脆弱性の悪用が確認されたか疑われるもの、または、深刻度が高いと認められたうえで、製品の利用者数と「特別社会基盤事業者」での利用状況から攻撃された場合の影響範囲が広いと認められるもの、のいずれかに当たる届出である。特別社会基盤事業者は、電気や鉄道、金融など基幹インフラを担う事業者としてサイバー対処能力強化法が定めるものを指す。

内閣府は通知を受けた情報を整理・分析したうえで、機器やソフトを供給する事業者、国の行政機関、重要な電子計算機を使う者などに提供する。この提供は、脆弱性が一般に公表される日より前に行われることもあるとしている。一方で、法律に基づいて行政機関や事業者へ提供する場合を除き第三者には渡さず、公表日までは漏えいしないよう管理すると明記した。

告示は改正せず、内閣総理大臣の「要請」で対応

この制度は2004年の開始以来、経済産業省の告示という公のルールと、産学と民間が定めるガイドラインという二つの層で運用されてきた。2025年度の検討段階では、告示を新しく作るか改正したうえでガイドラインを見直す方針だった。しかし内閣官房国家サイバー統括室と経産省の調整の結果、告示には手を付けず、サイバー対処能力強化法71条1項に基づく内閣総理大臣の要請をIPAとJPCERT/CCに出し、総務省からNICT（情報通信研究機構）へ同様の通知を出す形に変わった。

告示は「正当な理由がない限り、第三者に脆弱性関連情報を開示しないこと」と定めている。IPAは、内閣府への通知が法律と要請に根拠を持つ以上この「正当な理由」に当たると整理し、告示を改正しなくてもガイドラインの改訂だけで対応できるとした。ただし、内閣府の行動そのものを民間のルールで定めると制度の骨格と食い違うとして、ガイドライン本体ではなく新設の「付録7」で説明する形をとる。

過去の届出はさかのぼらない

改訂版は10月1日に施行する。ただし、すでに受け付けた届出までさかのぼって通知の対象にすることは、届け出た時点では予想できなかった扱いになるとして、9月30日までにIPAが受け付けた案件には適用せず、従来どおりに扱う。

NICTとの関係も整理した。NICT自身が脆弱性の発見者となり、製品開発者へ助言や情報提供を行う場合は、あらかじめJPCERT/CCに連絡するなど、開発者の負担を減らすために緊密に連携する。同じ製品開発者に複数の機関から別々に連絡が入る事態を避ける狙いとみられる。発見者からJPCERT/CCへ直接報告された脆弱性をIPAに通知する規定も新設し、内閣府への通知経路をIPAに一本化する。

累計2万件超が届け出られてきた制度

パートナーシップは2004年7月8日に届出の受け付けを始めた。IPAが受付機関、JPCERT/CCが調整機関となり、発見者からの届出をもとに製品開発者と連絡を取り、修正と公表の時期を調整する。開発者と連絡が取れない場合は「連絡不能開発者」として公表し、連絡を呼びかける仕組みも備える。

IPAが公表した2026年4〜6月期の届出状況によると、受け付け開始からの届出は累計20,315件で、内訳はソフトウェア製品が6,716件、ウェブサイトが13,599件だった。この四半期の届出は合わせて247件で、1就業日あたり3.80件にあたる。これまで発見者と開発者の間の調整に閉じていた情報の一部が、10月以降は政府へ流れることになる。