１．はじめに

　NECグループでは、日々発見される新たな脆弱性に対応するため、独自の脆弱性情報管理システムを運用し、対処に取り組んでいます。2002年7月に脆弱性情報をCERT/CCとハンドリングする目的で活動を開始し、2004年から情報セキュリティ早期警戒パートナーシップ(*1)にも参画するなど、NECグループ製品に影響のある脆弱性対策を推進しています。

２．NECグループにおける脆弱性対応の概要

　2-1．PSIRT

　NECグループではPSIRT（Product Security Incident Response Team）を設置し、NECグループの製品に関する脆弱性関連情報をハンドリングしています。NEC-CSIRT（NEC Computer Security Incident Response Team）と共に活動しています。

　2-2．新しい脆弱性情報の収集と共有

　　NECグループでは情報セキュリティ早期警戒パートナーシップ(*2)に基づく社外からの共有や、社内発見者からの報告などにより収集した脆弱性関連情報を、脆弱性情報管理システムを活用し、NECグループのPSIRTと製品開発部門で共有しています。

　2-3．脆弱性に関する調査と対策準備

　製品開発部門では製品に対する脆弱性の影響調査を行います。影響がある場合は対策の検討を行い、対策として修正手順、修正プログラム、回避手順を準備します。

※NECはCNAとして活動しており、自社製品にCVEを付与できますが、組み込みのライブラリ等製品固有の問題でない場合はCNAのルール上CVEを付与できません。このため、製品固有の問題でない指摘には対応できない可能性があります。
※EOL製品に関しては、製品固有の問題であればCVEを付与しますが、詳細な調査は行わない場合があります。

　2-4．情報公開

　製品の脆弱性対応に関する情報を、当社のNECグループ製品セキュリティ情報ポータルや国内の脆弱性対策情報ポータルサイトであるJVN(*3)にて公開します。情報公開は、公表日一致の原則に従い、調整機関（JPCERT/CC）と取り決めた日に合わせて公開できるように準備していきます。

３．製品に関する脆弱性の連絡について

　3-1．連絡先と提供頂きたい情報

　製品の脆弱性を見つけられた場合、以下の宛先までお知らせください。
　※送信ドメイン認証対応に伴い、アドレスが2022/12/9より変更されています。

　　NECグループPSIRT脆弱性報告窓口:

　　　psirt-info[@]mlsig.jp.nec.com

　なお、ご連絡いただく際には、以下情報のご提供をご協力お願いいたします。

　　・脆弱性が含まれる製品名：

　　・脆弱性が含まれる製品のバージョン：

　　・脆弱性の種類（バッファオーバーフロー、RCE等）：

　　・脆弱性の詳細な再現手順：

　　・概念実証コードまたは攻撃コード：

　　・脆弱性がもたらす潜在的な影響：

　3-2．連絡方法

　上記、NECグループPSIRT脆弱性報告窓口にご連絡頂く場合、お客様情報や製品の脆弱性情報といった機微な情報を安全に授受するため、弊社ではPGPによる暗号化でのご連絡をお願いしております。
　※送信ドメイン認証対応に伴い、アドレスが2022/12/9より変更されています。

　PGP公開鍵は、こちらから入手してください。

　3-3．個人情報保護方針

　提供されたお客様情報や製品脆弱性情報は、NECグループ個人情報保護方針に従って管理いたします。詳細は、こちらをご確認ください。

４．お客様への情報提供

　お客様にNECグループ製品のセキュリティ対策情報をお知らせするポータルをご用意しております。本ポータルに掲載される情報の掲載時期は、JVNの情報掲載と同期させています。

　NECグループ製品セキュリティ情報ポータル

５．届出の取り組み

　NECグループでは製品の脆弱性に対応するのに加え、製品の研究・開発時に共通の脆弱性を発見した場合には、情報セキュリティ早期警戒パートナーシップへ届出を行い、業界全体のセキュリティ向上に向けた活動にも取り組んでいます。

６．その他

　参考URL

　　(*1)情報セキュリティ早期警戒パートナーシップガイドライン
　　https://www.ipa.go.jp/security/guide/vuln/partnership_guide.html

　　経済産業省　ソフトウェア製品等の脆弱性関連情報に関する取扱規程
 https://www.meti.go.jp/policy/netsecurity/vul_notification.pdf


　　JPCERT/CC脆弱性関連情報取扱いガイドライン
　　https://www.jpcert.or.jp/vh/top.html

　　(*3)Japan Vulnerability Notes
　　https://jvn.jp/index.html

免責事項
　当社は、コンテンツ、その他の本ウェブサイトで提供される情報等（以下、総称して「コンテンツ等」といいます。）の内容に関し、その正確性、有用性、確実性、その他いかなる保証もするものではありません。コンテンツ等のご利用により万一何らかの損害が発生したとしても、当社は一切責任を負いません。

更新情報