製品セキュリティ保護のすすめ

製品セキュリティの基本理念

Cyber​​Powerは、社内の脆弱性対応およびリスク評価プロセスに従って対応を行います。脆弱性に関する詳細情報を受領した後、Cyber​​Powerは報告内容の確認と検証をし、潜在的な影響および深刻度の評価に該当する場合の対象製品やバージョンの特定を行い、リスクに基づいて修正や緩和策の優先順位を決定します。検証および評価のプロセスにおいては報告者と連絡を取り合い、適切なタイミングで修正や緩和策の進捗状況をお知らせします。なお、情報が不完全な場合や、必要な情報が含まれていない報告については、評価を行えない場合がありますのでご了承ください。

検証済みかつ報告対象となるセキュリティ脆弱性について、適切な修正または緩和策が特定された場合、Cyber​​Powerはセキュリティアドバイザリ、リリースノート、ファームウェア／ソフトウェアのアップデート、または緩和策に関するガイダンスといった適切な方法を通じて、関連情報を開示します。こうした開示には、脆弱性の概要、深刻度および影響、CVSSスコア（または類似の脆弱性評価システムに基づくスコア）、影響を受ける製品およびバージョン、解決策の説明、ならびに提供されるセキュリティアップデートやその他の是正措置の詳細が含まれる場合があります。また、情報が入手可能な場合には、当該脆弱性を悪用した、または現在悪用している攻撃者に関する情報が含まれることもあります。

EUサイバーレジリエンス法（CRA）を含む（ただしこれらに限定されない）適用法または規制により義務付けられている場合、Cyber​​Powerは適用される法的要件に従い、所定の管轄当局に対して、必要な脆弱性またはインシデントに関する通知を行います。実際に悪用されている脆弱性について、当該通知には、影響を受ける製品、脆弱性およびその悪用の一般的な性質、講じられたまたはユーザーが利用可能な是正措置もしくは緩和策、通知される情報の機密性、および（該当する場合）当該製品が提供されたとCyber​​Powerが認識しているEU加盟国に関する情報が含まれる場合があります。こうした通知の時期については、適用される規制要件に従って取り扱われます。

アップデートの提供有無や時期は、脆弱性が及ぼす潜在的な影響、脆弱性の公開状況、既知のエクスプロイト（悪用コード）の有無、影響を受ける製品の範囲、有効な緩和策の有無などの要因によって異なる場合があります。報告されたすべての懸念事項が脆弱性として確認されるわけではなく、Cyber​​Powerはすべての報告に対して特定の解決策を保証するものではありません。本ポリシーおよびアドバイザリは、Cyber​​Powerが開発、保守、または運用するすべての製品、サービス、およびデジタル資産に適用されます。Cyber​​Powerが開発または管理していないサードパーティ製品やサービスは、本ポリシーおよびアドバイザリの対象外です。Cyber​​Powerは独自の判断により、事前の通知なしにいつでも本ポリシーを変更する権利を留保します。セキュリティアップデートを適時に適用できるよう、定期的にホームページをご確認いただくことを推奨いたします。