EU サイバーレジリエンス法(CRA)に基づく脆弱性開示ポリシー

1. 目的

このポリシーは、タイムリーなリスク軽減を確保し、EU サイバーレジリエンス法に準拠してユーザーとデジタルエコシステムを保護するために、当社製品のセキュリティ脆弱性を受信、処理、開示するプロセスを定義しています。

2. 適用範囲

このポリシーは、EU 市場内で当社が提供するデジタル要素を備えたすべてのハードウェアおよびソフトウェア製品に適用されます。

3. 脆弱性の報告

• 脆弱性は、当社ウェブサイト上の専用の脆弱性報告フォームを通じて報告できます。
• 報告者は、製品名とバージョン、脆弱性の説明、概念実証または再現手順、潜在的な影響などの詳細な情報を提供することが推奨されます。

4. 脆弱性処理のプロセスとタイムライン

• 初期脆弱性評価と分類を迅速に実行します。
• CRA の報告スケジュールに準拠する:
  • 悪用された脆弱性は、検出から 24 時間以内に指定された ENISA に報告します。
  • 72 時間以内に最初の詳細な通知を送信します。
  • 緩和策が利用可能になってから 14 日以内に、包括的な脆弱性の説明と緩和計画を提供します。（インシデントの場合は１カ月以内）
• 複数の加盟国に影響を与える脆弱性について、関連当局や利害関係者と調整します。

5. 開示・連絡

• 報告者との情報開示限度を調整し、希望すれば匿名を維持できるようにします。
• 適切な通信チャネルを介して、検証済みの脆弱性と推奨される軽減策について、影響を受けるユーザーとパートナーに通知します。
• 明示的な合意と調整がない限り、修正手段が利用可能になる前に脆弱性の詳細が公開されないようにします。

6. 報告者の保護と守秘義務

• 私たちは、法的に非難することなく誠実な脆弱性の発見と報告を尊重することを約束します。
• 機密性の高い脆弱性情報は機密として処理され、適用されるデータ保護規制に従って安全に共有されます。

7. アップデートとパッチの配布

• 特定された脆弱性に対処するためのセキュリティアップデートをタイムリーに提供し、定義されたサポート期間、脆弱性にアクセスでき、無料で利用できるようにします。
• CRA 要件と一致する安全な更新メカニズムを提供します。

8. ポリシーの見直し

• このポリシーは、CRA の最新情報、業界のベストプラクティス、規制ガイダンスとの整合性を維持するために、定期的に見直され、更新されます。

9. 連絡先

• ウェブサイト上の脆弱性報告フォーム
• 住所: 東京都港区赤坂 2‐21‐25
• ウェブサイト: https://www.japanunix.com

10. 継続的なサポート

• 製品出荷後、少なくとも 5 年間にわたり脆弱性の監視、対応、修正アップデートの提供を継続します。
• セキュリティテストおよびレビューを定期的に実施し、製品の安全性を維持します。

11. その他

• 本ポリシーは製品のライフサイクル全体に適用し、関係者間での契約や協力体制の整備を含め、組織的に運用します。
• SBOM（ソフトウェア部品表）を作成し、製品に含まれるソフトウェア部品と脆弱性を管理します。