ぼくはまちちゃん！(Hatena) - IPAたんからお礼が！
スルー力が完全に欠如してるので、マジレスしてみるてすと。
「窓口があれば、みつけた人が教えてくれる機会がふえる」のは、
「機会がふえるような窓口があれば」→「機会がふやせる」
ではなくって、
「窓口があれば」→「個別に窓口を探す手間が省けるので放置される可能性が減る」
だと個人的には思います。
1.めんどくさくするな
もっとシンプルなものにしちゃおうよ！
そのとおりだと思います。
ただ、この制度以前は脆弱性を見つけてしまった場合には、運営サイト内の連絡先を個別に探し(そういう窓口は用意されていないことのほうが多い)、運良く窓口が用意されていた場合には運営サイト等がそれぞれ定める書式に従って(従わなくてもいいんだろうけど)連絡をしてやらなければいけなかったわけで、それを思えば IPA による届出制度のおかげでかなり楽はできていると思います。
2. つたない内容でも良いから、知ってること教えてねって姿勢でいこう
IPA に対するイタズラやIPA自身に対するサービス妨害よりは、ライバル企業などのWebアプリに対して、脆弱性の存在が不明であるにも関わらず、サービスを中断させたり検査にコストを注ぎ込ませる目的での偽の通報が発生するかもしれないのではないかと思います。そういう事態が発生した場合に、対象企業からIPA自身が業務妨害と言われる可能性がありますし。
かといって、脆弱性の有無が不明な届け出に対して、IPA自身が積極的に調査を行うようになると、自社のWebアプリの脆弱性調査をIPAに丸投げするWebサイトが出てくるかも知れませんし。
3. 報告者に得をさせる
競争心を煽ることがよいのかどうかは別として、報告者なり発見者なりに謝辞を示す機会をつくろうという検討はなされてますね。
4. 報告者に損をさせない
匿名ウェルカムが受け入れられないのは上に書いたとおり。
きみの報告が、うっかり不正アクセス法とかに抵触するものであったとして
そして万が一、警察機関からIPAに要請があった時にはどうなるのかな…！
に対しては、情報セキュリティ早期警戒パートナーシップガイドライン（2006年改訂版）に、
IPA は、脆弱性関連情報の入手方法に関して関知しません。ただし、違法
な手段で入手されたことが明白な脆弱性関連情報に関しては、受け付けない
ことがあります。
また、IPA が脆弱性関連情報を受け付けた場合でも、IPA は脆弱性関連情報
の入手手段に関して合法であると判断したわけではありません。さらに、IPA
が脆弱性関連情報を受け付けた場合、発見者の脆弱性関連情報の発見に係る
法的責任が免責されるわけではありません。
と書かれているとおり、守ってくれません。
