サイバーセキュリティアドバイザリ

Secomeaは、自社製品のセキュリティ、ひいてはお客様の操業について、透明性を保ち、自ら説明責任を負います。当社の製品またはサービスにセキュリティ上の脆弱性と思われるものを発見された場合は、以下の手順に従ってご報告ください。

Secomeaは、CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）から認定を受けたCVE採番機関（CNA）です。

報告

当社の製品またはサービスにセキュリティ上の脆弱性と思われるものを発見された場合は、vulnerabilityreporting@secomea.com 宛のメールでご報告ください。ご報告は英語でお送りください。

該当する範囲で、次の情報を添えてください。

サポートを終了した製品に関する報告について、CVEの採番と発見者としての謝辞を行うかどうかは、個別に判断します。

報告には機微な情報が含まれることがあります。その場合はメールにその旨をご記載ください。当社で適切なデータ保護の措置を用意します。PGP公開鍵を用いて報告をお送りいただくこともできます。

報告を受けた後、当社のサポートチームが、その報告が有効なセキュリティ脆弱性に当たるかどうかを評価します。

サポートチームは、分析の結果を報告者へ連絡します。すべての報告について、3営業日以内の回答を目指しています。

報告者は30日以内に応答する必要があります。応答がない場合、案件を終了することがあります。

必要に応じて、パートナーやその他のCERT（コンピュータ緊急対応チーム）にも情報を共有し、対応に加わっていただきます。

サポートチームが、報告された事象をセキュリティ脆弱性であると評価した場合、当社の研究開発部門が製品の修正として対処します。修正は、根本的な解決または緩和策のいずれかです。

当社は、報告された脆弱性の状況と、対処の方針について、報告者へ情報提供を続けます。適切と判断した場合には、検証のためのプレビュー版を事前に報告者へ提供することがあります。

CVSS（共通脆弱性評価システム・バージョン3.1）のスコアが中程度を超える脆弱性については、30営業日以内の修正を目指しています。中程度から高のスコアであっても、リスクや影響の評価が低いものは、影響の評価が高いものより期間が長くなることが一般的です。

CVSSスコアが7.0を超える脆弱性については、当社は該当製品の脅威モデルを見直し、最良のサイバーセキュリティ基準が備わっていることを確認します。

当社は、脆弱性に対する製品の修正を、通常の製品リリースの一部として提供します。Secomeaがホストするソリューションについては、修正が利用可能になり次第、順次適用します。セキュリティに関する助言は、リリース文書の一部として開示します。

CVSSスコアが中程度以上のCVEは、すべてCVEリストへ公開します。セキュリティアドバイザリを開示する時期は、お客様、パートナー、報告者と調整します。

当社のセキュリティアドバイザリには、通常、次の情報が含まれます。

サポート対象のSecomea製品で使用している第三者ソフトウェア部品の脆弱性は、その製品のセキュリティ上の文脈におけるリスクと影響に応じて評価します。当社は、その影響を反映するためにCVSSスコアを調整することがあります。

修正が必要な場合は、通常のSecomea製品リリースの一部として提供します。評価したCVSSスコアが中程度を超える第三者の脆弱性は、リリース文書で開示します。