製品のセキュリティ

製品セキュリティとは何か、なぜ重要なのか？

製品セキュリティとは、製品（該当する場合はデジタル要素を含む製品も含む）が、そのライフサイクル全体を通じてサイバー脅威に対して強靭であるよう、設計、構築、および保守が行われることを保証するものです。これには、セキュアな設計、継続的なリスク評価、脆弱性の対応、セキュリティ更新、および脆弱性への迅速な対応など、予防的かつリスクベースの対策が含まれます。

ますます相互接続が進む世界において、特に製品が機密性の高いシステム、データ、あるいは患者ケアと関わる分野では、製品セキュリティは不可欠です。製品セキュリティは、不正アクセス、データ漏洩、システム障害を防止することで、ユーザーを保護し、重要な業務を守り、信頼を維持するのに役立ちます。 したがって、強固な製品セキュリティは、技術的な必要性であるだけでなく、安全性と信頼性のための基本的な要件であり、EUサイバーレジリエンス法（CRA）の下でデジタル要素を含む製品に適用される可能性のある要件など、進化する規制要件への対応を支援するものです。

製品セキュリティは、サイバーセキュリティという広範な分野における重要な分野の一つです。サイバーセキュリティが運用中のシステム、ネットワーク、データの保護に焦点を当てるのに対し、製品セキュリティは、製品が設計段階から安全かつ強靭であることを保証し、ライフサイクルプロセスを通じてその状態を維持します。したがって、堅牢な製品セキュリティは、製品ライフサイクル全体にわたる効果的なサイバーセキュリティの基盤となります。

製品セキュリティに対する当社の取り組み

EVIDENTは製品セキュリティを極めて重要視しています。お客様や患者様の安全、ならびにそのシステムやデータのセキュリティと完全性を保護することは、当社の最優先事項の一つです。

セキュリティは、当社の製品の設計、開発、保守において不可欠な要素です。当社は、脅威を予測し、リスクを低減し、新たに発生する脆弱性に効果的に対応するため、プロセス、技術、専門知識への投資を継続的に行っています。当社の取り組みには、安全な開発ライフサイクルの維持に加え、該当する場合、デジタル要素を含む製品のサイバーセキュリティ要件への対応も含まれます。当社は、お客様が安心して信頼できる製品を構築し、運用することを目指しています。

EVIDENTの製品セキュリティ戦略

当社の製品セキュリティ戦略は、製品ライフサイクルの全段階を導く、確立され、かつ継続的に進化する一連の柱に基づいています：

これらの柱が相まって、セキュリティが後付けの対策ではなく、すべての製品にわたり継続的かつ統合されたプロセスであることを保証します。

コミュニケーションとリソース

EVIDENT は、外部からの製品セキュリティに関するお問い合わせ、脆弱性報告、および製品セキュリティインシデントの報告を受け付けるための専用のコミュニケーションチャネルを用意しており、報告された内容は、適切かつ安全に、適切な専門家によって効率的に処理されます。

製品のセキュリティ脆弱性またはインシデントの報告

お客様、研究者、パートナー、またはその他の外部関係者の方で、EVIDENT製品に潜在的な脆弱性を特定された場合、あるいはEVIDENT製品に関連する製品セキュリティインシデントを報告したい場合は、以下の専用の製品セキュリティ報告チャネルをご利用ください。このチャネルは、製品関連の脆弱性およびインシデント報告を一般から受け付けることを目的としており、単一窓口（SPOC）を通じて、当社の専任の製品セキュリティチームが報告内容を適切に優先順位付けすることを保証します。 EVIDENTは、適用される法律を遵守し、善意に基づき、無断でデータ、システム、またはユーザーにアクセスしたり影響を与えたりすることなく、当社の「調整された脆弱性開示（CVD）ポリシー」に従って脆弱性を報告するセキュリティ研究者に対して、法的措置を講じる意図はありません。

報告内容を効率的に評価できるよう、以下の簡潔かつ有益な詳細情報を記載してください：(1) 匿名での報告を希望する場合を除き、氏名および連絡先情報；(2) 影響を受ける製品、モデル、ソフトウェア／ファームウェアのバージョン、および構成；(3) 脆弱性またはインシデントの明確な説明と潜在的な影響； (4) 再現手順、概念実証（PoC）情報、ログ、スクリーンショット、または入手可能なその他の裏付けとなる証拠；および (5) 当該の問題が現在悪用されているか、あるいはすでに公開されているかどうかの情報。 報告内容を理解するために 不可欠な場合を除き、個人データ、顧客の機密データ、患者データ、認証情報、その他の機密情報の記載は避けてください。また、共有する権限のないデータを含めないでください。報告に関連して提供された個人データは、当社のプライバシーポリシーに従って処理されます。

詳細なガイダンスについては、こちらから当社の「調整された脆弱性開示（CVD）」文書をダウンロードしてください：調整された脆弱性開示（CVD）ポリシー。このCVD文書では、EVIDENTが脆弱性報告をどのように受け付け、検証し、調整し、対応について連絡を行うかについて説明しています。EVIDENTは、リスクに基づいた方法で報告の受領確認、評価、および対応を行うよう合理的な努力を払いますが、公式の製品セキュリティ通知で別途記載されていない限り、修正の期限を確約するものではありません。

製品セキュリティ報告に関するお問い合わせ先：

Eメール： product.security.reporting@evidentscientific.com

電話：+44 20 4640 4917

セキュリティ更新プログラムおよび修正された脆弱性に関する情報

セキュリティ更新プログラムおよびそれらが対処する脆弱性に関する情報は、各製品のダウンロードセクションでご確認いただけます：https://evidentscientific.com/ja/downloads

善意に基づく報告と安全なテスト：EVIDENTは、合法的かつ業務に支障をきたさない方法で実施される善意のセキュリティ調査を重視しています。 ご自身に帰属しないデータへのアクセス、改ざん、破壊、持ち出し、または開示を行わないでください。また、EVIDENTの製品、システム、サービス、または顧客環境の性能を低下させたり、中断させたり、不正アクセスを試みたりしないでください。患者の安全、顧客の業務、またはサードパーティのシステムに影響を与える可能性のあるテストは行わないでください。公開開示を行う前には、必ずEVIDENTと調整を行ってください。また、適用される法律およびCVD文書を遵守してください。 EVIDENTは、違法行為、不正アクセス、プライバシー侵害、またはユーザー、製品、システム、データに損害を与える可能性のあるテストを許可しません。

CRAへの重要なお知らせ：この公開報告チャネルは、外部からの製品のセキュリティ脆弱性およびインシデントの受付を目的としています。これは、EUサイバーレジリエンス法またはその他の適用法令に基づき、EVIDENTが市場監視当局、CSIRT、ENISA、またはその他の管轄当局（該当する場合）に通知する義務を、置き換えるものではなく、またその義務を制限または定義するものでもありません。

免責事項：本ページの情報は、一般的な情報提供のみを目的としており、いかなる種類の保証、確約、または契約上の約束を構成するものではありません。完全に安全であると保証できる製品は存在しません。 セキュリティプロセス、脆弱性の取り扱い、セキュリティ更新、緩和策、サポート期間、協調的脆弱性開示、または適用される規制要件への言及は、あくまで説明的なものであり、該当する製品ドキュメントまたは契約条項において明示的に合意されていない限り、固定された是正措置の期限やその他の義務を生じさせるものではありません。当社の製品に関する権利および義務は、該当する製品ドキュメントおよび契約条項によって規定され、ここに記載された情報に優先します。規制遵守を含む将来の開発に関する記述は、予告なく変更される場合があります。