EVIDENT 調整型脆弱性開示（CVD）ポリシーおよび製品セキュリティに関する声明

はじめに

EVIDENTは、サイバーセキュリティおよび製品のセキュリティを極めて重要視しています。当社は、ユーザーおよび患者の安全を確保し、データの機密性を保護するとともに、デジタル要素を含む製品およびサービスのセキュリティを維持することに全力を尽くしています。

絶えず拡大し、極めて複雑化するサイバーセキュリティ分野に関連するあらゆる脅威に専門的に対処するため、当社は製品セキュリティチームを設立しました。このチームには専任の専門家が在籍し、リスク評価、脅威モデリング、セキュアデザイン、セキュアコーディング、および製品の全体的なセキュア開発ライフサイクル（SDLC）といった重要な課題に継続的に取り組んでいます。

脆弱性の報告と開示も、当社のサイバーセキュリティ体制における重要な柱です。

当社は、セキュリティ脆弱性の責任ある報告と解決を支援するため、この「調整された脆弱性開示（CVD）ポリシー」を定めています。

管轄区域によって規制上の義務が異なる場合、EVIDENT は、当該製品および市場に適用される関連する法的枠組みを適用します。

適用範囲

本CVDポリシーは、以下に適用されます。

EVIDENTが提供するデジタル要素を含むすべてのソフトウェアおよびハードウェア製品。当社は、デジタル要素を含むすべての製品について、脆弱性やインシデントの責任ある開示を推奨します。
製品の機能に必要となる、関連するあらゆるリモートデータ処理ソリューション。

脆弱性の報告方法

EVIDENTは、発見可能性への期待に応え、任意の匿名報告および体系的な受付を可能にするため、公開され、アクセスしやすい脆弱性受付チャネルを提供しています。本CVDポリシーは、公開された脆弱性受付および報告者との連携を支援するものでありますが、CRA（サイバーセキュリティ規制法）またはその他の適用法令に基づき、CSIRT、ENISA、市場監視当局、またはその他の管轄機関に対してEVIDENTが負う個別の規制報告義務（）に取って代わるものではなく、また、それらを制限または定義するものでもありません。

脆弱性は、電子メール（product.security.reporting@evidentscientific.com ）にてご報告いただけます。

可能であれば、報告の分析を迅速化するため、脆弱性報告書を英語で提出してください。

脆弱性を報告するには、合理的に可能な範囲で以下の情報が必要です：

脆弱性の簡単な概要
脆弱性の詳細な説明
脆弱性が及ぼす可能性のある影響
影響を受ける製品およびバージョン
該当する場合、システムのハードウェア構成（バリエーション）、当該構成に接続されているハードウェアデバイス、オペレーティングシステム、ネットワーク接続などの設定詳細
該当する場合、どのサードパーティ製コンポーネントが影響を受けるか？
脆弱性を発見および悪用するためのツールと手法
脆弱性を再現するための手順
入手可能な場合は、当該脆弱性が実際に悪用可能であることを示す概念実証（例：悪用コード）
脆弱性を悪用するために必要な権限
当該脆弱性がすでに積極的に悪用されている場合の証拠
任意：ご連絡先情報、および、当社の製品またはサービス内で使用されているサードパーティ製コンポーネントに脆弱性が発見された場合、EVIDENTがお客様の連絡先情報を当該サードパーティベンダーに転送することの可否。

脆弱性報告を提出することにより、お客様は、報告された脆弱性を責任ある方法で調査、検証、修正、および開示する目的のみに限り、提出された情報を使用、複製、および共有する非独占的、全世界的、かつロイヤリティフリーの権利を EVIDENT に付与するものとします。

EVIDENTは、脆弱性報告および関連情報を適切な注意を払って取り扱い、製品のセキュリティ、脆弱性の対応、または適用される法律および規制要件の遵守とは無関係な目的で当該情報を使用することはありません。

お客様は、いかなる情報の提出も、お客様に対していかなる権利（本ポリシーに明示的に規定されているものを除く）も生じさせず、また、適用法で義務付けられている範囲を超えてEVIDENTに対していかなる契約上の義務も生じさせないことに同意するものとします。

調整された開示、対応プロセス、および取り組み

脆弱性報告を受領した場合、EVIDENTは以下の措置を講じます。

連絡先情報を提供しており、匿名での報告を選択していない場合、EVIDENTは合理的に実行可能な限り速やかに報告の受領確認を行うよう努めます。EVIDENTは、本件を参照するための固有の追跡番号をあなたに提供します。
EVIDENTとの安全なコミュニケーション（例：電子メールの暗号化利用）を継続する選択肢を提供し、説明が必要な場合はご協力をお願いいたします。
当社の製品セキュリティインシデント対応チーム（PSIRT）により、報告された脆弱性を検証します。
解決策の策定に取り組み、その有効性を検証します。
適切な措置を講じます（例：情報の開示、セキュリティアップデートの提供など）。
報告された脆弱性が、当社の製品またはサービスに含まれるサードパーティ製コンポーネントに起因する場合、EVIDENTは、是正に必要な脆弱性の詳細を当該サードパーティベンダーと共有することがあります。お客様の連絡先情報は、お客様がそのような開示に明示的に同意した場合にのみ、当該サードパーティベンダーに転送されます。同意が得られない場合、EVIDENTは、可能な限り、お客様の身元や個人の連絡先情報を開示することなく、脆弱性に関する情報を伝達します。

EVIDENTは、脆弱性の公開にあたり、調整されたリスクベースのアプローチを採用しています。

開示のタイミングは、合理的かつ適切と判断される場合、以下を含むがこれらに限定されない事由に基づき調整されることがあります：

修正または検証の複雑さ、
サードパーティ製コンポーネントやサプライヤーへの依存関係、または
ユーザー、顧客、または患者の安全に対する過度なリスクを防止する必要性。

脆弱性が積極的に悪用されている場合、高いリスクまたは差し迫ったリスクをもたらす場合、あるいは規制上の理由やリスク軽減の観点から緊急の周知が必要とされる場合には、早期の開示が検討されることがあります。

ゼロデイ脆弱性の場合、EVIDENTは、完全な修正プログラムが利用可能になる前に、暫定的な緩和策や回避策を含む段階的または限定的な開示を行うことがあります（）。これは、是正措置が進行中の間、リスクを軽減するためです（）。

このアプローチを支援するため、EVIDENTは以下の対応を行います：

お客様と協力し、合理的かつリスクに基づいた公開時期について協議します。
適切と判断される場合、既存の顧客通知プロセスを利用して、顧客への直接的な連絡を通じて脆弱性を開示します。これには、公的な解決策が整備されるまでの間、暫定的な回避策の提供が含まれる場合があります。
修正プログラムが利用可能になった時点で、またはCRA（消費者権利法）やその他の適用される法律に基づき、リスクに応じた適切な情報開示の考慮事項に従って、脆弱性アドバイザリを公開します。

EVIDENT にとって、患者の安全は開示のタイミングよりも優先されます。したがって、EVIDENT は被害を防ぐために、特定の開示詳細を一時的に保留することを決定する場合があります。

CRA第14条で義務付けられているEU当局への報告義務

上記の評価では、当該報告が以下のいずれに関連するかも確認されます。

現在悪用されている脆弱性、および／または
当社の製品のセキュリティに影響を及ぼす重大なインシデントであるかどうかも確認します。

CRAの規定に基づき。

該当する場合、EVIDENT は、CRA 第 14 条の規定に基づき、ENISA が運営する単一報告プラットフォーム（SRP）を通じて EU 当局に通知します。EVIDENT は、適用される CRA の報告義務の遵守を支援するために設計された内部プロセスを維持しています。

適用される法律に従い、CRA に基づく報告義務に加え、EVIDENT は各国の CERT に脆弱性を報告する場合があります。

CRA は、MDR または IVDR が適用されるデジタル要素を含む製品には適用されません。

報復措置の禁止（「セーフハーバー」）

お客様が善意に基づき、本「調整された脆弱性開示ポリシー」に従って行動する場合、EVIDENTは、お客様の脆弱性調査および報告活動に対して法的措置を講じることはありません。この約束はEVIDENTのみによってなされるものであり、顧客、ユーザー、規制当局、またはその他のベンダーを含む第三者の権利または請求を拘束、放棄、または制限するものではありません。

EVIDENTは、本ポリシーに基づいて実施されるセキュリティ調査を、以下の条件を満たす限り、正当なものとみなします。あなたが：

プライバシーの侵害、サービスの妨害、またはユーザー、患者、顧客への悪影響を回避するために誠実な努力を払うこと；
脆弱性の存在を検証するために合理的に必要な範囲に活動を限定すること；
本ポリシーの「責任ある行動および責任ある研究」の項を遵守すること；および
発見した脆弱性を速やかにEVIDENTに報告し、調整された開示について合意が得られるまでは、それらを公に開示しないこと。

本セーフハーバーは、違法な活動、無謀に行われる活動、意図的な危害を伴う活動、不正アクセス、顧客または患者データへのアクセス、法的禁止事項の回避、脆弱性を実証するために必要な範囲を超えるデータの持ち出し、恐喝、ソーシャルエンジニアリング、許可なく顧客環境または本番システムで行うテスト、または本ポリシーの範囲外で行われる行為には適用されません。

EVIDENTは、悪意、不誠実、または適用される法令や規制への違反があった場合、適切な措置を講じる権利を留保します。

許可されたテスト、責任ある行動、および責任ある調査の範囲

本ポリシーに基づく許可された脆弱性調査は、テスト用に意図的に提供されているEVIDENTの製品およびサービスに限定されます。これには、専用のテスト環境、デモ環境、開発環境、および顧客やユーザーとのやり取りを明示的に意図した一般に公開されているインターフェースが含まれます。

EVIDENT が本ポリシーに基づき意図的にテスト用に提供しているコンポーネント、システム、および環境を除き、テストは、研究者が所有または管理するコンポーネント、システム、およびアカウントに対してのみ実施され、システムの可用性を低下させたり、患者の安全を脅かしたり、実際のユーザー、顧客、または患者データに影響を与えたりしない手法のみを使用しなければなりません。

この範囲外のテスト活動を行うには、EVIDENTからの事前の書面による明示的な承認が必要です。

責任ある行動を確保するため、以下のガイドラインに従ってください：

研究およびテスト活動中は、すべての法令を遵守してください。
EVIDENTまたは第三者に情報を提出する際は、個人を特定できる情報（PII）や患者の健康情報（PHI）などの機密情報を通信内容に含めないようにしてください。スクリーンショットやその他の添付ファイルを提供する場合は、技術的に安全な方法でこれらの情報を削除してください。
現在実際に使用されている製品やサービス、特に患者ケア、患者診断、または患者モニタリングに使用されているものに対して、脆弱性テストや脆弱性調査を行わないでください。代わりに、テストおよび調査活動はデモ環境またはテスト環境のみに限定してください。製品やサービスの機能を妨害する可能性のある行為（例：サービス拒否（DoS）攻撃の実行など）は控えてください。
脆弱性の存在を確認するために絶対に必要な範囲を超えて、その脆弱性を利用してはなりません。
発見した脆弱性を、いかなる形でも悪用してはなりません。これには以下が含まれますが、これらに限定されません：
1. 機密データおよび／または個人データへのアクセスまたはダウンロード
2. データの改ざんまたは削除
3. システムへの変更や損害を与えること
テストの際は、自身のアカウントおよびシステムのみを使用してください。ソーシャルエンジニアリングを用いて他人のアカウントにアクセスしてはなりません。
システムへのアクセスを得るために、ブルートフォース攻撃を行わないでください。

データ保護

お客様から提供された個人データ（連絡先など）は、報告された脆弱性の処理および調整、ならびに適用される法的義務の遵守を目的としてのみ、EVIDENT によって処理されます。当該データは、これらの目的に必要な期間のみ保持され、適用されるデータ保護法および https://evidentscientific.com/ja/legal/privacy で公開されている EVIDENT のプライバシーポリシーに従って処理されます。

バグ報奨金または栄誉の殿堂

EVIDENTは現在、バグ報奨金プログラムを実施しておりません。報告者は、EVIDENTへの脆弱性の報告に対して、金銭その他の報酬が支払われないことを了承するものとします。