【2026年最新】脆弱性の報告を受けたときの対応7手順

公開しているサービスやアプリについて、外部から問題の指摘を受けることがあります。無視すると公表される可能性があり、慌てて対応すると別の問題を生みます。この記事では、対応の順序を整理します。

対応の7手順

【結論】順序を守ってください。

1. 受領を返信する

内容を確認する前でも、受け取ったことを伝えてください。

2. 内容を確認する

報告された手順を、自分の環境で再現します。

3. 影響を把握する

何が起こり得るか、どの範囲に及ぶかを確認します。

4. 悪用の有無を確認する

すでに使われた形跡がないかを、記録から確認してください。

5. 修正する

影響の大きさに応じて、優先度を決めて対応します。

6. 報告者へ連絡する

修正した旨と、時期を伝えてください。

7. 利用者へ知らせる

影響があった場合、状況を伝える必要があります。

段階	やること	やらないこと
受領	すぐ返信	放置
確認	再現する	推測で判断
修正	優先度をつける	すべて同時に
連絡	報告者へ返す	無言で修正

受領の返信

【結論】早さが重要です。

内容が分からなくても返す

確認に時間がかかるなら、その旨を伝えてください。

期限の目安

いつまでに回答するかを示すと、報告者も待てます。

放置した場合

返信がないと、公表に踏み切られる可能性があります。

連絡先の整備

報告を受け付ける窓口を、事前に用意しておいてください。

報告者への態度

【結論】責めないでください。

善意の報告

問題を知らせるために連絡してきています。

法的な脅し

報告者を威圧すると、状況が悪化します。

感謝を伝える

指摘に対して、まず礼を伝えてください。

謝礼の制度

用意している組織もあります。ない場合、その旨を伝えれば足ります。

影響範囲の把握

【結論】記録を確認します。

再現の手順

報告された内容を、自分で確認してください。

何ができるか

情報が読めるのか、変更できるのかで重大さが変わります。

対象の範囲

すべての利用者か、条件を満たす一部かを確認します。

悪用の形跡

記録から、すでに使われていないかを確認してください。

修正の進め方

【結論】慌てて壊さないでください。

優先度をつける

影響が大きいものから対応します。

確認を行う

修正が正しく効いているかを確認してください。

他への影響

急いだ修正が、別の不具合を生む場合があります。

記録に残す

何をどう直したかを記録してください。

利用者への連絡

【結論】影響があるなら伝えてください。

伝える内容

何が起きたか、影響の範囲、利用者がすべきことです。

時期

修正が済んでから伝えるのが一般的です。

詳細の扱い

悪用される可能性があるため、手順の詳細は避けてください。

情報が漏れた場合

個人に関する情報が漏れたなら、別に定められた対応が必要になります。

公表の調整

【結論】報告者と相談してください。

公表の時期

修正が行き渡ってからにするのが一般的です。

報告者の意向

自分で公表したいと考える場合があります。相談してください。

名前の記載

報告者の名前を載せるかを確認してください。

期限の目安

一定期間で公表するという慣行があります。

窓口の用意

【結論】平時に準備してください。

連絡先の記載

サイトやアプリの説明に、報告先を書いておいてください。

受付の方針

どのような報告を受け付けるかを示す方法があります。

対応の目安

いつまでに返信するかを示しておくと、行き違いが減ります。

確認の頻度

その窓口を定期的に確認してください。

再発を防ぐ

【結論】原因まで見てください。

同じ種類の問題

他の場所にも同じ問題がないかを確認してください。

作り方の見直し

なぜ生じたかを踏まえて、進め方を見直します。

確認の追加

同じ種類の問題を検出できる仕組みを検討してください。

記録の共有

チームで共有すると、他の人が同じことを繰り返しません。

報告の見分け方

【結論】内容で判断してください。

手順が具体的

再現できる手順が書かれていれば、確認しやすくなります。

費用を求める内容

修正の前に金銭を要求する連絡は、報告とは性質が異なります。

自動の検査結果

機械的な検査の結果だけを送ってくる場合があります。実際に問題かは確認が必要です。

いずれも返信する

判断がつかなくても、受け取ったことは返してください。

記録の残し方

【結論】経緯を残してください。

受け取った日時

いつ報告を受けたかを記録します。

やり取りの保存

報告者との連絡を保管してください。

対応の経過

いつ何を確認し、いつ修正したかを残します。

後の説明に使う

公表する場合や、問い合わせを受けた場合の材料になります。

よくある質問（FAQ）

Q1. まず何をしますか

受け取ったことを返信してください。内容の確認はその後で構いません。

Q2. 返信しないとどうなりますか

公表に踏み切られる可能性があります。

Q3. 報告者に費用を払う必要がありますか

謝礼の制度を用意している組織もありますが、義務ではありません。ない場合はその旨を伝えてください。

Q4. 利用者に知らせるべきですか

影響があった場合は伝えてください。手順の詳細は避けます。

Q5. いつ公表しますか

修正が行き渡ってからが一般的です。報告者と相談してください。

Q6. 窓口がありません

事前に用意しておいてください。連絡先がないと、報告そのものが届きません。

まとめ

報告を受けたら、まず受け取ったことを返信してください。内容を確認する前でも構いません。返信がないと、公表に踏み切られる可能性があります。

報告者を責めないでください。問題を知らせるための連絡が大半です。威圧すると状況が悪化します。まず礼を伝えてください。

報告された手順を自分で再現し、何ができるのか、どの範囲に及ぶのかを確認します。記録から、すでに悪用されていないかも確認してください。

修正は影響の大きいものから進めます。慌てた対応が別の不具合を生むこともあるため、効いているかを確認してください。修正後は報告者へ連絡し、影響があった場合は利用者にも状況を伝えます。

📱 運営の裏側・最新情報はXで発信中 → @ore_chusotsu