製品セキュリティ脆弱性のご報告

Uniview製品にセキュリティ上の脆弱性を発見された場合は、Uniview セキュリティ対応センターまで、以下のメールアドレスよりご報告ください。

security@uniview.com

Univiewは、所定の対応プロセスに基づき、報告された脆弱性の確認・評価・対応を行い、適時フィードバックを提供します。

協調的な脆弱性開示

Univiewは、可能な限り脆弱性の報告者と連携し、脆弱性情報の公開時期および公開内容について調整を行います。

また、ご希望に応じて、公開するセキュリティアドバイザリ等において、脆弱性の報告者としてお名前を記載することがあります。

Uniview製品の脆弱性に関する情報をウェブサイト、SNS、その他のメディアで公開される場合は、事前にUniviewと連携し、公開時期および公開内容について調整いただくようお願いいたします。

脆弱性への対応には、問題の内容や影響範囲に応じた検証、修正、緩和策の策定などが必要となるため、すべてのケースに対して一律の対応期限を設定することは困難です。

そのため、脆弱性情報を公開する前に、修正パッチ、緩和策、関連するセキュリティ情報などを十分に準備するための時間を必要とする場合があります。

製品セキュリティインシデント対応プロセス

1. 受付

Univiewは、security@uniview.comのメールまでを通じて、製品の脆弱性に関する報告を受け付けています。

また、製品およびサービスに関するセキュリティ上の問題を継続的に監視し、脆弱性情報の収集に努めています。

脆弱性の報告を受領した後、通常は7営業日以内を目安に初回の返信を行います。

必要に応じて、報告内容の確認、追加情報の提供、再現方法の確認などについて、報告者へご連絡する場合があります。

2. 検証・評価

Uniview セキュリティ対応センターおよび関連する製品チームが、報告されたセキュリティ上の問題について検証を行い、脆弱性の有無を確認するとともに、その影響範囲およびリスクレベルを評価します。

Univiewは、CVE番号発行機関として認定されています。

対象となる脆弱性について、発見者またはその他の関係者により既にCVE番号が割り当てられているかを確認します。

CVE番号が割り当てられていない場合は、必要に応じてUniviewがCVE番号の採番手続きを行い、当該問題に関係する関係者間で情報を共有します。

3. 対策・修正

確認された脆弱性について、影響を軽減するための緩和策を策定するとともに、脆弱性を修正するためのパッチやソフトウェア更新等の開発を行います。

また、必要に応じて、セキュリティ上の注意喚起や早期警告に関する対応方針を策定します。

4. 情報公開

脆弱性に対する適切な緩和策、予防措置、または修正パッチの準備が完了した後、Univiewは当該脆弱性に関する情報を正式に公開します。

Uniview セキュリティ対応センターは、対応期間中における脆弱性情報の取り扱いを厳格に管理し、当該脆弱性への対応に直接関与する担当者のみに情報共有を限定します。

また、脆弱性の報告者に対しても、Univiewによる正式な情報公開が行われるまで、当該脆弱性に関する情報を機密として取り扱っていただくようお願いしています。

Uniview セキュリティ対応センターは、CVSS v3.1（共通脆弱性評価システム）に基づき、脆弱性の基本評価基準および現状評価基準を評価します。

お客様は、ご自身のシステム構成、運用環境、セキュリティ要件などに応じて環境評価基準を適用し、実際の利用環境に即したリスク評価を行うことができます。

Univiewは、必要に応じて共通脆弱性識別子（CVE）レコードを公開します。

該当する場合、脆弱性情報の公開日にあわせて、関連するCVE情報を公開します。

Univiewの製品セキュリティインシデント対応プロセスに関するお問い合わせは、以下のメールアドレスまでご連絡ください。

security@uniview.com