> For the complete documentation index, see [llms.txt](https://doc.engenius.ai/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://doc.engenius.ai/engenius-cloud-esp/jp/readme/vulnerability-policy.md). # 脆弱性対応ポリシー ## EnGenius PSIRT EnGenius製品セキュリティインシデント対応チーム（PSIRT）は、EnGenius製品に影響するセキュリティインシデントに迅速に対応する責任を負っています。本チームは、EnGenius製品およびネットワークに関連する脆弱性や問題について、報告の受付、調査、および情報公開を統括する専任のグローバルチームです。EnGeniusでは、脆弱性を「ソフトウェアおよびハードウェアの構成要素に存在する計算ロジック（コードなど）の弱点であり、悪用された場合に機密性、完全性、または可用性に悪影響を及ぼし得るもの」と定義しています。ただし、特定の状況においては、この定義と異なる判断を行う権利を留保します。また、EnGenius PSIRTは、国際標準化機構が定める潜在的な脆弱性の開示に関する[ISO/IEC 29147:2018ガイドライン](https://www.iso.org/standard/45170.html)に準拠しています。 ## セキュリティアドバイザリ EnGeniusでは、製品に存在し得る脆弱性をお客様にお知らせするため、[本ドキュメントの「セキュリティアドバイザリ」セクション](/engenius-cloud-esp/jp/readme/security-advisories.md)にセキュリティアドバイザリを掲載しています。アドバイザリには、影響を受けるバージョン、最悪の場合の影響、該当する設定条件、利用可能な回避策、修正済みバージョン、CVE ID、CWE ID、CVSSスコア、および発見者への謝辞といった関連情報を記載します。その一方で、攻撃者による脆弱性の悪用を助けるおそれのある情報は記載しないよう努めています。 お客様への個別のサポート、リリース内容の確認、アップグレード計画の支援を提供するため、公開予定のセキュリティアドバイザリについては、可能な限り事前にEnGenius Focused Servicesチームへ情報を共有しています。 実際に悪用が行われている緊急の問題については、通常の公開サイクルを待たずに、可能な限り速やかにアドバイザリを公開します。 セキュリティ上の影響が実証されていない一般的なセキュリティ改善や、予防的なプログラミング上の修正については、アドバイザリを公開しません。 SaaS（クラウドサービス）製品については、お客様による対応を必要とせずEnGeniusが完全に解決できる脆弱性に関して、アドバイザリを公開しません。解決済みの脆弱性については、問題の解決時に更新される保守記録を維持する場合があります。 ## 脆弱性の報告 脆弱性に関する非公開の機微な情報の機密性を保つため、情報へのアクセスは、正当な必要性があり修正プロセスに貢献できる担当者のみに限定しています。 お客様を保護するため、当社が問題を十分に調査し、対応・解決したうえで、必要に応じてセキュリティアドバイザリによりお客様へ通知するまでは、潜在的な脆弱性に関する情報を公開の場に投稿・共有しないようお願いいたします。 新規または亜種の攻撃・マルウェアを検知またはブロックするためのシグネチャ追加のご依頼については、お客様向けPSIRTチームまで直接ご連絡ください。 * ご希望の場合は、宛のメールで**報告を送信**いただけます。より高い安全性を確保するため、当社のPGP鍵を使用してメッセージを暗号化することを推奨します。 {% hint style="info" %} **対応および修正のプロセス** 脆弱性の報告を受領した後、通常は1営業日以内に受領の連絡を行い、追跡番号をお知らせします。その後、担当の製品セキュリティエンジニアが報告内容を分析し、再現を試みます。問題が確認され、内容が把握できた時点で、製品エンジニアリングチームが、影響を受けるサポート対象のすべてのリリースについて修正作業を開始します。作成された修正は、製品セキュリティエンジニアがレビューし、検証します。 {% endhint %} EnGenius PSIRTは、すべてのEnGenius製品について、脆弱性への対応と修正のプロセス全体を管理しています。問題の修正が完全に当社の管理下にある場合、SaaS製品（クラウドサービス）については数時間から数日以内に修正します。定期的な保守リリースとテストのスケジュールを持つオンプレミス製品については、ほとんどの問題について90日以内の完全な解決を目指して最善を尽くします。 ## 対応の優先順位付け 脆弱性の評価にはCVSSバージョン3.1を使用し、実際の悪用状況、お客様の露出度、公開開示のスケジュールなどの要素を考慮したうえで、対応の優先順位を決定します。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://doc.engenius.ai/engenius-cloud-esp/jp/readme/vulnerability-policy.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.