製品セキュリティ
製品セキュリティの取り組み
- 1.当社は、製品・サービスの情報セキュリティ品質に対応する社内体制として、当社組織図内の対応組織をPSIRT（Product Security Incident Response Team：製品セキュリティインシデント対応部署）として置き、マネジメントシステム組織図で明確化し、製品・サービスの情報セキュリティに対し取り組む。
- 2.当社では、お客様へ提供している製品・サービスの脆弱性に関する情報を広く収集するとともに、発見された脆弱性への対応を製品の設計・生産部門およびサービスの運用部門と連携して速やかに行うことを役割とする。また、脆弱性の情報・対策を広くお客さまへ公開する。
- 3.お客様に製品やサービスを提供する前の段階で脆弱性を作り込まないようにするための設計・開発手法の導入推進や、製品・サービスの開発に関係するすべての役員および従業員に対して必要なセキュリティに関する教育を実施する。
- 4.当社は、CVE (Common Vulnerabilities and Exposures) Program により、社外ステークホルダーとの効率的な脆弱性ハンドリングを実践する。
製品セキュリティポリシー
当社は、製品・サービスを提供する中で、製品・サービスに関係するセキュリティ（以下、「製品セキュリティ」という）を確保し、お客様に大きな被害や影響をもたらさないように、適切な対策を講じることを責務と考える。
当社は、お客様に安心して製品・サービスをご使用いただくために、製品・サービスに関係するすべての当社役員、従業員に対して製品セキュリティの重要性を周知徹底させ、以下の取組みの実行と、定期的な点検、見直しによる改善・維持に努める。
1. 法令遵守
当社は、製品セキュリティに関する各国の法令を遵守し、また、当社「個人情報保護方針」に基づき、個人情報について適切な保護措置を講ずる。
2. 体制
当社は、製品セキュリティに関する活動を司る体制として、PSIRT（Product Security Incident Response Team）を本社に設置する。
3. 教育訓練
当社は、製品セキュリティに関する知識・技術の向上と、活動を徹底する風土醸成のために、製品・サービスに関係するすべての当社役員、従業員に対して、製品セキュリティに関する教育や啓発などの施策を継続的に実施する。
4. 製品開発
当社は、製品セキュリティに関連する業界標準の規格やガイドラインの要求および検証方法を適宜適切に製品開発に取り入れる。
5. 問題発生時の対応
製品セキュリティ上の問題が発生した場合は、原因究明と是正措置を講じ、再発防止に努める。お客様への情報提供は、必要に応じ政府関係機関等と連携し、当社ウェブサイトへの掲載等の方法で行う。
製品セキュリティ対応体制
本社に対外的な窓口となるPSIRTを設置し、責任者として品質保証部長を配置し、全社で製品・サービスのセキュリティ品質に対して取り組む。
脆弱性公開ポリシー
当社は、製品のセキュリティを確保し、サイバー攻撃からお客様を守るために、「ISO/IEC 29147」→「ISO/IECAWI29147」および「情報セキュリティ早期警戒パートナーシップガイドライン
（IPA発行）」に基づき、製品の脆弱性に関する情報を以下のプロセスで公開する。
1. 脆弱性に関する情報の入手
当社は製品の情報セキュリティ品質向上のために、社外のセキュリティ研究者や調整機関（国内外のCERT [Computer Emergency Response Team] など）から製品の脆弱性に関する情報を収集する。
製品の脆弱性に関する情報は、調整機関への確認または当社ウェブサイトの連絡フォームから情報を入手する。
脆弱性に関する情報の受信を確認後、受信日を起点として5営業日以内に、受領した旨をご報告者に連絡する。
製品脆弱性の受付は、当社製品の未公開の脆弱性に限り情報を受付ける。
2. 調査・対策
製品の脆弱性に関する情報は、当該製品の設計・開発部門にて確認・調査を行い、以下の3点が確認された場合には、新規の脆弱性であると判断し、確認後速やかに報告者に確認結果をご連絡する。
- 製品のセキュリティに影響のある問題であること
- 再現性があること
- 未公開であること
新規の脆弱性であることが確認された場合は、対策の実施と情報公開の準備を行う。新規の脆弱性ではないことが確認された場合は、報告者との合意のうえ、対応を終了する。ただし、EOL (End Of Life) 製品 (*1) に対しては脆弱性調査を行わない。
- *1:EOL（End Of Life）製品とは、製品のライフサイクルが終了し、メーカーによるサポートが終了したもの
3. セキュリティアドバイザリの公開
当社製品の新規の脆弱性であることが確認された場合は、お客様が適切な対策を講じることを可能とするために、情報の公開準備が整い次第、報告者をはじめとする関係者と公開日を調整のうえ、CVE番号を採番し、以下の当社ウェブサイトの重要なお知らせにセキュリティアドバイザリを公開する。
また、公開と同時にJPCERT/CC (Japan Computer Emergency Response Team Coordination Center) および必要に応じ海外のCERTへ脆弱性の届け出を実施する。情報セキュリティ早期警戒パートナーシップガイドラインに基づき、原則として報告者、調整機関、当該製品開発者以外の第三者へ公開前の脆弱性に関する情報を開示しない。
当社製品の脆弱性の発見または解決に貢献いただいた方に対しては、謝辞の掲載に同意を得て、対象のセキュリティアドバイザリに謝辞を掲載する。同一の脆弱性について、複数の個人・団体からの連絡は、最初の報告者に対して謝辞を掲載する。
