Ver.12」における脆弱性の診断結果についてSky製品における脆弱性情報の扱いと公開について弊社では、Sky製品の各種セキュリティ・脆弱性に関する情報をいち早く提供し、皆さまが安全に製品をご利用いただけるよう、次のような体制で脆弱性対策、インシデント対応を進めています。製品脆弱性情報の公開は、図1の過程で実施します。公表の連絡、対応情報の周知は、JPCERTコーディネーションセンター(以下、JPCERT/CC)の「公表日一致の原則」にそって行います。)の入手にはさまざまな経路があります。弊社の主な入手経路について、以下に記載します。製品開発工程において脆弱性が発見された場合には、情報セキュリティ早期警戒パートナーシップの脆弱性関連情報の届出窓口に報告いたします。発見された脆弱性の影響がSky製品だけでなく他社製品にも影響することがわかった場合には、他社とも連携して脆弱性対策を行います。メール、Webサイト掲載情報IPA、JPCERT/CCからのメール配信や、JVNなどのWebサイトに掲載された情報から脆弱性関連情報を収集しています。発見者からの情報ソフトウェアの脆弱性を発見された方や、Sky製品を導入いただいているお客様、取り扱いいただいている販売会社様からのメール・電話等によるご連絡から脆弱性に関する情報を受け付けております。製品サポートへのお問い合わせからの情報サポート窓口の一次回答で解決できない問題を製品開発部で調査した結果からも脆弱性を発見する場合や、関連情報を収集することもあります。弊社では、脆弱性関連情報の入手後、脆弱性の影響調査と同時に、脆弱性への対策としてアップデートモジュールの準備を行い、当該する脆弱性への対策用アップデートモジュールが準備できると、公開するセキュリティ情報を作成します。含んだセキュリティ情報は、調査・対策中など脆弱性への対策方法が伴わない段階で一般に公表することにより、悪意のある第三者により悪意のあるコード(攻撃コード)が開発され、流通し、システムに対する脆弱性への攻撃が行われる可能性があります。その結果、製品利用者に被害が及ぶことが考えられます。複数の製品が影響を受ける脆弱性の場合には、単独で情報を公表することで他社の製品利用者を危険にさらす可能性があり、情報の公表にあたっては、関係者間で足並みをそろえることが重要とされています。そのため、弊社が製品開発ベンダーとして登録している「情報セキュリティ早期警戒パートナーシップ」などとの間で、必要に応じて公表日を調整して対策を進めます。v2.0」の記載通り、脆弱性関連情報の取扱いを開始した日から起算して45日以内を目安とします。サポートニュースのメール配信にご登録いただいているメールアドレス宛にセキュリティ情報を連絡するなどして、対策情報をお客様にご連絡いたします。Viewのアップデートや「保守契約ユーザー用Webサイト」の更新情報などを随時メール配信しています。Viewをご購入時に、必ず、情報セキュリティ対策を担当されている方がご登録いただきますようにお願いいたします。製品ご購入時にご登録いただきましたメールアドレスへの連絡は、ご登録時のメールアドレスがソフトウェア購入窓口の方でSky製品を運用いただいている方ではないケースや、ご購入時と現在のご担当者様が異なっているなどの理由から、配信した内容が実際のご担当者へ伝わらない場合がございます。そのため、脆弱性関連情報などを素早くお客様へお届けできますよう、メール配信登録へのご協力をお願いいたします。サポートニュースの新規ご登録については、「保守契約ユーザー用Webサイト」のTOP画面、「サポートニュース新規登録」から行えます。v3)を利用しています。v3は、システムの脆弱性に対する汎用的な評価手法で、ベンダーに依存しない共通の評価方法として提供されています。v3値を算出した上で、対応レベルを決定しています。重要」の脆弱性が発見された場合には、対応する対策パッチのリリースとともに、お客様に対して、JVNやJPCERT/CCなどの公的機関とともに、弊社Webサイト、サポートメール等により、ご連絡いたします。v3基本値を基に、深刻度を以下のように分けます。v3値による対応方法を基本ポリシーといたします。当該脆弱性に対するお客様への影響度を十分に考慮した上で最終的な対応方法を決定する場合がございます。値の算出方法」を参考にしています。保守契約ユーザー様向けサポートニュースで脆弱性情報をメール配信する際には、深刻度に応じてメールタイトルの前方に下記のような見出しを追加して配信いたします。国民のための情報セキュリティサイト総務省のWebサイト「国民のための情報セキュリティサイト」では、「ソフトウェアを導入する際には、その時点での最新版を使用することが適切な対応ですが、時間の経過とともに新たな脆弱性が発見されるため、情報管理担当者はソフトウェアを常に最新にする対応を行う必要があります。脆弱性の修正に関するものについては日々注視しておく必要があります。235号)を公示しています。公示を踏まえ、ソフトウェア製品とWebアプリケーションに関する脆弱性関連情報の円滑な流通、対策の普及を図るため、公的ルールに基づいた官民の連携体制として整備されました。IPAを受付機関に、JPCERT/CCが調整機関として広く脆弱性情報を募り、対策方法等をユーザーに提供しています。脆弱性への対応が行われたのち、JVNにより詳細情報とともに製品開発者の対応状況の公表と、利用者への対策の周知が行われます。図1JVN「情報セキュリティ早期警戒パートナーシップ」制度に基づいて報告され調整した日本国内の製品開発者の脆弱性対応状況や、CERT/CCなど海外の調整機関と連携した脆弱性情報を公表しています。