このページの内容
報告の項目
| 項目 | 書くこと |
|---|---|
| 対象のシステム | 契約ごとのシステム名・環境 |
| 確認したこと | 対象の製品・バージョンの使用の有無、確認日 |
| 対応 | 更新・暫定策の実施日、予定 |
| 再委託先 | 再委託先がある場合、その確認の状況 |
| 連絡の窓口 | 担当者と連絡先、時間外の連絡方法 |
報告の様式や期限は、発注元の自治体との契約・仕様書に従ってください。総務省のガイドラインは、自治体が外部委託先を管理する考え方を示しています。
報告の例
{{団体名}} {{課名}} 御中
{{公表日}}に公表された{{製品名}}の脆弱性について、当社が運用を請け負っている{{システム名}}への影響を確認しましたので、ご報告します。
・確認日：{{確認日}}
・結果：対象のバージョンは使っていませんでした
・再委託先：{{再委託先名}}からも、使っていない旨の回答を受けています
新しい情報が公表された場合は、改めてご報告します。
原典・参考にした資料
- 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」
- 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）「JPCERT/CC（注意喚起・脆弱性関連情報）」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。