○経済産業省告示第二百三十五号
ソフトウエア等脆弱性関連情報取扱基準を次のように定めたので、告示する。
平成十六年七月七日
経済産業大臣中川昭一

ソフトウエア等脆弱性関連情報取扱基準
Ⅰ．主旨
本基準は、ソフトウエア等に係る脆弱性関連情報等の取扱いにおいて関係者に推奨する行為を定
めることにより、脆弱性関連情報の適切な流通及び対策の促進を図り、コンピュータウイルス、コ
ンピュータ不正アクセス等によって不特定多数の者に対して引き起こされる被害を予防し、もって
高度情報通信ネットワークの安全性の確保に資することを目的とする。
Ⅱ．用語の定義
本基準で用いられる用語の定義は、以下のとおりとする。
１．脆弱性
ソフトウエア等において、コンピュータウイルス、コンピュータ不正アクセス等の攻撃により
その機能や性能を損なう原因となり得る安全性上の問題箇所。ウェブアプリケーションにあって
は、ウェブサイト運営者がアクセス制御機能により保護すべき情報等に誰もがアクセスできるよ
うな、安全性が欠如している状態を含む。
２．脆弱性関連情報
脆弱性に関する情報であって、以下に掲げる類型のいずれかに該当するもの。
- 2 -
（１）脆弱性情報
脆弱性の性質及び特徴を示す情報。
（２）検証方法
脆弱性が存在することを調べる方法。
（３）攻撃方法
脆弱性を悪用するプログラム、コマンド又はデータ及びそれらの使用方法。
３．対策方法
脆弱性によって生じる問題を解決又は回避するための方法であって、以下に掲げる類型のいず
れかに該当するもの。
（１）回避方法
脆弱性を修正することなく、それが原因となって生じる被害を回避するための方法。
（２）修正方法
脆弱性を修正する方法。
４．ソフトウエア製品
ソフトウエア又はそれを組み込んだハードウエアであって、汎用性を有する製品。
５．ウェブアプリケーション
- 3 -
インターネット上のウェブサイトで稼働する固有のシステム。
６．コンピュータウイルス
コンピュータウイルス対策基準（平成７年通商産業省告示第４２９号）における「コンピュー
タウイルス」をいう。
７．コンピュータ不正アクセス
不正アクセス行為の禁止等に関する法律（平成１１年法律第１２８号）における「不正アクセ
ス行為」をいう。
Ⅲ．本基準における関係者の定義
本基準における関係者の定義は、以下のとおりとする。
１．発見者
脆弱性関連情報を発見又は取得した者。
２．受付機関
発見者が脆弱性関連情報を届け出るための機関。
３．調整機関
脆弱性関連情報に関して、製品開発者への連絡及び公表等に係る調整を行う機関。
４．製品開発者
- 4 -
ソフトウエア製品の開発等を行う者であって、以下のいずれかに該当する者。
（１）ソフトウエア製品を開発した者。
（２）（１）に掲げる者のほか、ソフトウエア製品の開発、加工、輸入又は販売に関する形態そ
の他の事情からみて、当該ソフトウエア製品の実質的な開発者と認められる者。
５．ウェブサイト運営者
ウェブサイトを運営する者。
Ⅳ．本基準の適用範囲
本基準は、以下に掲げるものの脆弱性であって、その脆弱性に起因する被害が不特定多数の者に
影響を及ぼし得るものに適用する。
１．日本国内で利用されているソフトウエア製品
（ソフトウエア製品において通信プロトコル等の仕様を実装した部分を含む。）
２．主に日本国内からのアクセスが想定されているウェブサイトで稼働するウェブアプリケーショ
ン
Ⅴ．対象がソフトウエア製品である場合の脆弱性関連情報取扱基準
一．発見者が製品開発者ではない、又は、発見者が製品開発者であり発見若しくは取得した脆弱性
関連情報の影響範囲が自社のソフトウエア製品に限らない場合
- 5 -
対象がソフトウエア製品であり、かつ、発見者が製品開発者ではない、又は、発見者が製品
開発者であり発見若しくは取得した脆弱性関連情報の影響範囲が自社のソフトウエア製品に限
らない場合における脆弱性関連情報の取扱いの流れを以下に示す。
（ⅰ）発見者は、脆弱性関連情報を受付機関に届け出る。
（ⅱ）受付機関は、届出を受理した場合、一定の場合を除き、調整機関に当該脆弱性関連情報
を通知する。
（ⅲ）調整機関は、受付機関から通知された脆弱性関連情報を、製品開発者に速やかに通知す
るとともに、当該製品開発者が開発等を行ったソフトウエア製品における当該脆弱性の
有無及びその新規性の検証結果について、当該製品開発者に報告を求める。
（ⅳ）調整機関は、当該脆弱性情報の公表日を定める。
（ⅴ）当該製品開発者は、当該脆弱性情報の公表日までに、対策方法を作成するよう努める。
（ⅵ）受付機関及び調整機関は、当該脆弱性情報の公表日に、当該脆弱性情報、その日までに
得られた製品開発者による当該脆弱性の有無及びその新規性の検証結果並びに当該脆弱
性に関する対策方法、取組みの状況等を含む対応状況について、インターネット等を通
じて公表する。
関係者における詳細な行動基準を以下に定める