ソフトウェアの欠陥（脆弱性）を見つけた人が届け出る「情報セキュリティ早期警戒パートナーシップ」の運用が、10月1日に変わった。情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）は同日、ガイドラインの2026年版を公開した。同日に施行されたサイバー対処能力強化法を受け、届け出られた脆弱性のうち一定のものをIPAが内閣府へ通知する流れが加わった。2004年の制度開始以来、発見者と製品を作った側の間で閉じていた情報の一部が、政府へ流れることになる。

通知の対象は「悪用の確認・疑い」か「深刻で影響が広い」

内閣府は9月17日付で、IPAとJPCERT/CCに協力を求める要請文を出した。IPAが内閣府へ通知するのは、次の二つのいずれかに当たる届出である。

一つは、脆弱性の悪用が確認されたもの、または疑われるもの。こちらは深刻度を問わない。

もう一つは、悪用が確認されていなくても、次の二つの条件を両方満たすものだ。脆弱性の深刻度が高いと認められること。そして、その製品の利用者数と「特別社会基盤事業者」での利用状況を勘案して、攻撃された場合の影響範囲が広いと認められること。改訂後のガイドラインは、深刻度はCVSSスコアなど業界標準の指標で評価すると説明している。特別社会基盤事業者は、電気・ガス・鉄道・金融・医療など基幹インフラを担う事業者としてサイバー対処能力強化法が定めるものを指す。

改訂後のガイドラインは、IPAが届出を受理しなかった場合や処理を取りやめた場合でも、この条件に当たると判断すれば内閣府へ速やかに通知すると定めた。製品開発者との調整やJVN（脆弱性対策情報ポータル）での公表といった通常の手続きは、内閣府への通知と並行して従来どおり進む。

要請の根拠は同法71条1項で、内閣総理大臣が法律の施行に必要と認めるとき、関係者に情報の提供などの協力を求められるとする条文である。情報通信研究機構（NICT）には、総務省が9月28日付で同様の通知を出した。

政府へ渡った情報は、四つの経路で配られる

内閣府が受け取った情報をどう使うかも、要請文と改訂ガイドラインの新設「付録7」に書かれている。まず同法37条に基づいて整理・分析し、そのうえで次の経路で流す。

42条1項により、内閣府またはIPAなど委託先の法人が、機器やソフトの供給者へ直接提供する。38条1項により、国の行政機関へ提供する。提供を受けた省庁のうち、機器やソフトの供給を行う事業を所管する省庁は、必要と認めれば供給者に被害防止の措置を要請できる（42条2項）。基幹インフラを所管する省庁は、40条1項に基づいて特別社会基盤事業者へ情報を提供する。

41条により、重要な機器を使う者へ提供する。さらに45条1項に基づいて内閣府が組織する協議会でも、関係省庁の長や機器の使用者、製品開発者といった構成員に脆弱性の情報を提供することがある。法42条6項は、国外の供給者が国内向けに供給した機器やソフトにも同条を適用すると定めている。

これらの提供は、脆弱性が一般に公表される日より前に行われることもある。一方で内閣府は、法律に基づいて行政機関や事業者へ提供する場合を除き第三者には開示せず、提供を受けた側も含めて、公表日までは漏えいしないよう管理するとしている。

何が変わるのか　これまでの「優先提供」は四半期10件

公表前の情報を重要インフラに先回りして渡す仕組みは、これまでもあった。IPAの2026年4〜6月期の届出状況によると、JVNで公表する前に重要インフラ事業者などへ脆弱性対策情報を優先提供したのは、この四半期で10件、累計で101件だった。

今回の改訂で、この先回りの経路に政府が加わる。届出を受けた機関と製品開発者の間の調整という従来の枠組みとは別に、内閣府が情報を集めて整理し、法律に基づいて省庁や事業者へ配る経路ができた。改訂後のガイドラインは、情報提供にあたって内閣府が製品開発者や基幹インフラ事業者の負担を減らすため、IPAとJPCERT/CCと緊密に連携するとしている。

届け出た本人には「お答えできない場合があります」

発見者から見ると、届出後の見え方が変わる。改訂後のガイドラインは、通知の対象になった届出について発見者から問い合わせがあった場合、IPAは本人確認に留意しつつ、内閣府とJPCERT/CCと協議したうえで対応すると定めた。そのうえで、内閣府はサイバー安全保障の観点から脆弱性の情報を集めているため、IPAから内閣府への通知があったかどうかや、内閣府での対応状況については「お答えできない場合があります」と書き添えた。

自分が届け出た脆弱性がどう扱われているかを追いかけにくくなる、ということである。届出は任意の協力で成り立つ制度だけに、運用の中で発見者の納得をどう得るかが問われる。

告示は改正せず、内閣府の「要請」で対応

この制度は、経済産業省の告示という公のルールと、産学・民が定めるガイドラインという二つの層で運用されてきた。IPAによると、2025年度の研究会での検討も踏まえ、内閣官房国家サイバー統括室と経産省が告示の新規制定・改定を検討・調整していた。しかし最終的に、告示ではなく、71条1項に基づく内閣府の要請と総務省の通知を前提にガイドラインを改訂する方針となった。

背景には、2025年12月23日に閣議決定された「重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針」がある。

告示は「受付機関は、正当な理由がない限り、第三者に脆弱性関連情報を開示しないこと」と定めている。IPAは改訂案の説明資料で、内閣府への通知はこの「正当な理由」に当たると整理し、告示を改正しなくてもガイドラインの改訂だけで対応できるとした。ただし、内閣府の行為をガイドライン本体に書けば、公的ルールと民間ルールの二層という制度の骨格と食い違ううえ、署名しない内閣府の行為を書くことで「自らなすべき事項を宣言」する文書という性格も崩れる。このため本体ではなく、新設の付録7で説明する形をとった。

署名団体は6から7へ、NICTが加わる

ガイドラインの署名団体も変わった。従来のIPA、JPCERT/CC、電子情報技術産業協会（JEITA）、ソフトウェア協会（SAJ）、情報サービス産業協会（JISA）、日本ネットワークセキュリティ協会（JNSA）の6組織に、NICTが加わって7組織になった。

NICTが発見者として、NICT法に基づき製品開発者へ助言や情報提供を行う場合は、開発者の負担を減らすためJPCERT/CCと緊密に連携する。発見者がJPCERT/CCへ直接報告した脆弱性を、JPCERT/CCがIPAに共有する規定も加わった。この二つは付録ではなくガイドライン本体に書き込まれた。

このほか、内閣サイバーセキュリティセンター（NISC）から国家サイバー統括室への組織改組による名称変更や、重要インフラ分野を定める文書が「重要インフラのサイバーセキュリティに係る行動計画」から「重要インフラのサイバーセキュリティ対策のための統一基準」に変わったことも反映する方針が、改訂案の段階で示されていた。

9月30日までの届出はさかのぼらない

IPAは改訂案の説明資料で、すでに受け付けた届出までさかのぼって通知の対象にすることは、発見者などの関係者にとって届け出た時点では予想できなかった扱いになるとして、9月30日までにIPAが受け付けた案件には内閣府への通知対応を適用せず、従来どおり扱うとしていた。

根拠となる法律は、2025年5月23日に公布された「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号）と、関係法律の整備法（同43号）で、10月1日に施行された。

累計2万件超が届け出られてきた制度

パートナーシップは2004年7月8日に届出の受け付けを始めた。IPAが受付機関、JPCERT/CCが調整機関となり、発見者からの届出をもとに製品開発者と連絡を取り、修正と公表の時期を調整する。

IPAが公表した2026年4〜6月期の届出状況によると、受け付け開始からの届出は累計20,315件で、内訳はソフトウェア製品が6,716件、ウェブサイトが13,599件だった。この四半期の届出はソフトウェア製品182件、ウェブサイト65件の合わせて247件で、受け付け開始からの1就業日あたりの届出は3.80件にあたる。7〜9月期の届出状況はソフト製品の脆弱性届出、7〜9月は179件　前年同期の1.4倍　IPA集計で伝えた。

同じ法律で基幹インフラ事業者の側に何が求められるかは、基幹インフラのサイバー被害、10月1日から国への報告が義務に　電気・鉄道・金融など258者が対象　認知後30日以内に詳細報告で伝えている。

脆弱性を突いた被害については、ランサムウェア被害の報告、2026年上半期は123件で過去最多　侵入経路はVPN機器が18件で半数　バックアップからの復元は40件中11件、中小企業の対策については中小企業のサイバー対策、15事業者が1年間無償で伴走　IPAが10月から実証　ランサム被害226件の約6割が中小企業、すでに悪用が始まっていた欠陥の例はF5の通信制御機器に認証なしで遠隔操作される欠陥　すでに悪用　JPCERT/CC「国内で広く利用」　深刻度は10点満点の9.8も参照してほしい。国の機関が配るソフトにJVNで脆弱性が公表された例としては、国交省の電子納品検査ソフトに脆弱性　港湾・空港工事の受注者向け、更新を呼びかけがある。製品の開発者自身がJPCERT/CCに報告し、JVNでの公表に至った例には社内wiki「GROWI」に欠陥3件　閲覧権限のないページを読まれるおそれ　v8.0.7で修正がある。外部の研究者が早期警戒パートナーシップに基づいてIPAへ届け出た脆弱性がJVNで公表された例には、ヤマハの無線LANルーター「NWR100」に深刻な欠陥　深刻度9.8、VPNソフトなど計3製品がある。