JVN は、"Japan Vulnerability Notes" の略です。日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供し、情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイトです。脆弱性関連情報の受付と安全な流通を目的とした「情報セキュリティ早期警戒パートナーシップ」に基いて、2004年7月よりJPCERT コーディネーションセンターと独立行政法人情報処理推進機構 (IPA)が共同で運営しています。
経済産業省の告示にて、下記の通り指定されています。
| 担当 | 組織 |
|---|---|
| 脆弱性関連情報の届出の受付機関 | 独立行政法人情報処理推進機構（IPA） |
| 脆弱性関連情報に関して製品開発者への連絡および公表に係る調整機関 | 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC） |
情報セキュリティ早期警戒パートナーシップガイドラインに従い脆弱性関連情報を以下のように取り扱います。
- IPA は、脆弱性情報の発見者から受け取った脆弱性関連情報を、JPCERT/CC に通知します。
- JPCERT/CC は、脆弱性関連情報に関係する製品開発者を特定し、製品開発者に 脆弱性関連情報を通知します。
- 脆弱性情報の開示、公表日程の調整を行います。
- IPA およびJPCERT/CC は、脆弱性情報と、JPCERT/CC から連絡したすべての製品開発者の脆弱性検証の結果、対策方法および対応状況を JVN にて公表します。
脆弱性識別番号は、脆弱性情報を特定するために割り振られる一意な番号です。「情報セキュリティ早期警戒パートナーシップ」に基づいて調整・公表された脆弱性情報には JVN# で始まる 8桁の番号を割り当てています。
脆弱性識別番号は、脆弱性情報を特定するために割り振られる一意な番号です。「情報セキュリティ早期警戒パートナーシップ」に基づいて調整・公表された脆弱性情報には JVN# で始まる 8桁の番号を割り当てています。
製品開発者は、自身のソフトウエア製品に関する脆弱性関連情報について自身で発見・取得した場合、または他の者によって開示された脆弱性関連情報を取得した場合、当該脆弱性関連情報および対策方法を IPA またはJPCERT/CC に通知できます。
参考 URL
- 経済産業省の告示
- 情報セキュリティ早期警戒パートナーシップガイドライン
情報セキュリティ早期警戒パートナーシップガイドラインにおける日本国内の脆弱性関連情報の取扱いに加え、JPCERT/CCは、海外のCSIRTや研究者などと連携して、グローバルな脆弱性情報の流通活動も行っています。
JVN# 以外の海外調整機関や海外製品開発者との連携案件などには JVNVU# で始まる 8桁の番号を割り当てています。
調整有無に関わらず必要に応じて JPCERT/CC が発行する注意喚起や、セキュリティ組織と共同で執筆した問題や脆弱性関連情報には JVNTA# から始まる 8桁の番号を割り当てています。
US-CERTが公表した注意喚起情報など基づいて公表された脆弱性情報には JVNTA# から始まる US-CERT Alert の番号を含む 例: JVNTA13-317A 番号を割り当てています。
