企業組織向けサイバーセキュリティ相談窓口、ウイルス・不正アクセスの届出・相談、および脆弱性関連情報の届出、調整不能案件の公表判定における個人情報の取扱いについて

独立行政法人情報処理推進機構（IPA）では、個人情報を適切に取扱うため、プライバシーポリシーを定め、個人情報の保護に努めています。

• 個人情報保護について

企業組織向けサイバーセキュリティ相談窓口業務

独立行政法人情報処理推進機構 セキュリティセンター（以降「IPAセキュリティセンター」）では、企業組織向けサイバーセキュリティ相談窓口業務において相談者の個人情報を取扱います。
これらの個人情報の利用目的、管理方法については以下のとおりに定めます。

1. 取得する個人情報の種類

• 相談者の個人情報
  氏名、住所、組織名、所属、電子メールアドレス、電話番号、FAX番号

2. 個人情報の利用目的

• 相談者の個人情報について
  相談者に相談の内容について確認および回答するために利用します。
  

3. 個人情報の管理について

• 企業組織向けサイバーセキュリティ相談窓口業務の作業担当者以外は当該個人情報にアクセスできないように、管理します。
  原則として取扱いを終了した時点から6ヶ月以内に適切な方法で破棄します。

ウイルス・不正アクセスの届出・相談業務

独立行政法人情報処理推進機構 セキュリティセンター（以降「IPAセキュリティセンター」）では、ウイルス・不正アクセスの届出・相談業務において届出者および相談者の個人情報を取扱います。
これらの個人情報の利用目的、管理方法については以下のとおりに定めます。

1. 取得する個人情報の種類

• 届出者および相談者の個人情報
  氏名、住所、組織名、所属、電子メールアドレス、電話番号、FAX番号

2. 個人情報の利用目的

• 届出者の個人情報について
  届出者に届出の内容について確認するために利用します。
  ウイルス・不正アクセスに関する月次レポート等をメールで配信するために利用することがあります。
  ウイルスの届出への協力依頼に利用させていただく場合があります。
• 相談者の個人情報について
  相談者に相談の内容について確認および回答するために利用します。
  ウイルス・不正アクセスに関する月次レポート等をメールで配信するために利用することがあります。

3. 個人情報の管理について

• ウイルス・不正アクセスの届出・相談業務の作業担当者以外は当該個人情報にアクセスできないように、管理します。
• 原則として取扱いを終了した時点から6ヶ月以内に適切な方法で破棄します。

脆弱性関連情報の届出受付業務・調整不能案件の公表判定業務

IPAセキュリティセンターでは、脆弱性関連情報の届出受付業務において、発見者およびウェブサイト運営者の個人情報を取扱い、調整不能案件を公表するか否かを判定する公表判定業務において、製品開発者の個人情報を取扱います。
これらの個人情報の利用目的、管理方法、および第三者への提供については以下のとおりに定めます。

脆弱性関連情報の届出受付業務

1. 取得する個人情報の種類

• 発見者の個人情報
  氏名、住所、組織名、所属、電子メールアドレス、電話番号、FAX番号
• ウェブサイト運営者の個人情報
  氏名、組織名、所属、電子メールアドレス、電話番号、FAX番号

2. 個人情報の利用目的

• 発見者の個人情報について
  発見者に届出の内容について確認する、もしくは届出の取扱いについて連絡するために利用します。
  発見者の同意が得られた場合に限り、脆弱性情報の公表時に発見者に対する謝意を表すために利用します。
• ウェブサイト運営者の個人情報について
  ウェブサイト運営者に届出の内容について連絡するために利用します。

3. 個人情報の管理について

脆弱性関連情報の届出受付業務のそれぞれの作業担当者以外は当該個人情報にアクセスできないように、管理します。

• 発見者の個人情報について
  受付けた脆弱性関連情報の届出が取扱いを終了した時点（届出を不受理とした場合、脆弱性の修正が完了するなど取扱う必要がなくなった場合）から2ヶ月以内に、適切な方法で破棄します。
• ウェブサイト運営者の個人情報について
  受付けた脆弱性関連情報の届出が取扱いを終了した時点から2ヶ月以内に、適切な方法で破棄します。ただし、ウェブサイト運営者から同意が得られた場合に限り、当該脆弱性関連情報の取扱いが終了した後も、以降に受付けた届出内容について、ウェブサイト運営者へ連絡するために保持することがあります。

4. 個人情報の第三者への提供について

脆弱性関連情報の届出受付業務においては、以下の場合に発見者の個人情報を第三者に提供することがあります。なお、発見者の個人情報を第三者に提供する場合は、発見者の同意を得た上で提供します。

• ウェブサイト運営者から、発見者に直接、届出内容について確認したい、もしくは謝辞を呈したいという要望があった場合
• ソフトウエア製品の開発者から、発見者に直接、届出内容について確認したい、もしくは謝辞を呈したいという要望があった場合
• JPCERT/CCから、発見者に直接、届出内容について確認したいという要望があった場合

調整不能案件の公表判定業務

1. 取得する個人情報の種類

• 製品開発者（製品開発者の代理人、製品開発者の利害関係者を含む）の個人情報
  氏名、住所、組織名、所属、電子メールアドレス、電話番号、FAX番号

2. 個人情報の利用目的

• 製品開発者の個人情報について
  製品開発者へ公表判定委員会の開催通知、公表判定委員会の判定結果通知、公表の通知、取扱終了の通知の連絡のために利用します。

3. 個人情報の管理について

調整不能案件の公表判定業務の作業担当者（公表判定委員会の委員を含む）以外は当該個人情報にアクセスできないように、管理します。

• 製品開発者の個人情報について
  調整不能案件について、公表判定委員会で判定を行い、その結果公表または取扱いを終了した時点から2ヶ月以内に、適切な方法で破棄します。

4. 個人情報の第三者への提供について

調整不能案件の公表判定業務において、個人情報を第三者に提供する場合は、製品開発者の同意を得た上で提供いたします。ただし、一般に公表にされている情報については、除きます。