脆弱性情報の協調開示ポリシー
目的
本脆弱性情報の協調開示（CVD）ポリシーは、セキュリティ研究者、お客様、およびパートナーが、LEMの**デジタル要素を含む製品（PDE）**に影響を及ぼす可能性のある脆弱性を安全に報告するための方法を定めるものです。
また、本ポリシーでは、CRA（Cyber Resilience Act：サイバーレジリエンス法）附属書I パートII、CRA附属書II、ならびに国際規格 **ISO/IEC 29147（脆弱性開示）**および **ISO/IEC 30111（脆弱性対応プロセス）**に従い、LEMが脆弱性を評価、検証、修正、および開示する方法について説明します。
本ポリシーは、LEMが製品セキュリティに関する報告プロセスおよびガバナンスを公開している公式の **LEM PSIRT（Product Security Incident Response Team：製品セキュリティインシデント対応チーム）**ページに記載された取り組みと整合しています。
適用範囲
本ポリシーは、LEMが市場に提供するすべてのデジタル要素を含む製品（PDE）、ならびにそれらに関連するファームウェア、組込みソフトウェア、接続モジュール、クラウドバックエンド、およびデジタルコンポーネントに適用されます。これには、CRA適合要件の対象となる製品に組み込まれた第三者製またはオープンソースのコンポーネントに存在する脆弱性も含まれます。
また、本ポリシーは、外部のセキュリティ研究者、お客様、セキュリティアナリスト、および第三者パートナーから、LEMの公式PSIRT報告窓口を通じて提出されるすべての脆弱性報告に適用されます。
脆弱性を報告する方法
PSIRT情報の公開
LEMは、公式の製品セキュリティインシデント対応チーム（PSIRT）に関する情報を、以下の公開ウェブサイトで公開しています： https://www.lem.com/jp/psirt
このページでは、以下の情報を提供しています：
- 脆弱性を報告するための正式な手順
- 暗号化された報告に必要なPGP公開鍵
- 報告者から提供が必要な情報
- トリアージおよびコミュニケーションに関するLEMの対応方針
- PSIRTプロセスおよび責任ある脆弱性開示に関する要件
この公開PSIRTページは、LEMへの脆弱性報告および安全なコミュニケーションに関する正式な対外窓口です。すべての外部報告者は、同ページで提供されているPGP鍵および手順を使用する必要があります。
単一窓口（CRA附属書IIに基づく必須要件）
LEMは、CRA附属書IIの要件に従い、公式のPSIRT報告窓口を提供しています。
メールアドレス： productsecurity@lem.com
PGP暗号化：すべての報告は、LEM PSIRTウェブページで提供されているLEM PSIRTのPGP公開鍵を使用して暗号化する必要があります。
LEMから暗号化された安全な返信を受け取るため、報告者は自身のPGP公開鍵も提供する必要があります。
報告を提出することにより、報告者は、その報告を行う権限を有していることを確認するとともに、公開PSIRTページに記載されているセキュリティ評価、検証、修正、文書化、および協調的な脆弱性開示のために報告を処理するために必要な権利をLEMに付与するものとします。
正確な報告を継続的に提出している実績のある報告者、または信頼できる報告者からの報告については、簡略化されたトリアージおよびコミュニケーションプロセスが適用される場合があります。
必要な情報
LEMが報告内容を効率的に評価できるよう、少なくとも以下の情報をご提供ください：
- 製品の識別情報（モデル、部品番号、ファームウェア／ソフトウェアのバージョン）
- 疑われる脆弱性の詳細な説明
- 発見方法および発見日
- 既知の悪用方法に関する詳細（該当する場合）
- 再現手順
- 過去に行われた、または予定されている公開開示に関する情報
- 報告者の連絡先情報
必要な情報が不足している場合、LEMが報告内容を評価できないことがあります。
安全なテストに関するガイドライン
セキュリティ調査は、責任ある方法で実施し、サービスの中断や安全性への影響を引き起こしてはなりません。
以下の行為は固く禁止されています：
- サービス拒否（DoS/DDoS）テスト
- ソーシャルエンジニアリング、フィッシング、またはビッシング
- 第三者のインフラストラクチャに対する攻撃
- データ損失、プライバシー侵害、または業務の中断を引き起こす行為。意図しないデータの漏えいが発生した場合は、直ちにテストを中止する必要があります。
LEMは、本ガイドラインならびにCRA／ISOの責任ある脆弱性開示の原則に従って実施された、善意に基づく非侵入的なテストについて、法的措置を講じることはありません。
LEM 脆弱性対応プロセス
特定およびトリアージ
LEM PSIRTは報告の受領を確認し、深刻度、悪用可能性、安全性への影響、規制上の重要性、および影響を受けるPDEコンポーネントに基づいて、潜在的な脆弱性を評価します。PSIRTは、必要に応じて追加情報を求めるため、報告者に連絡する場合があります。
検証
LEMのセキュリティエンジニアは、問題を再現、検証、確認し、影響を受ける各バージョンへの適用性を評価します。
修正対応
LEMは、CRAの深刻度に関する要件に従って、修正対応の優先順位を決定します。修正および緩和策は、LEMのセキュア開発ライフサイクルを通じて開発、テスト、検証されます。
CRAの要件に従い、可能な場合は、セキュリティアップデートを機能アップデートとは別に提供します。
協調的な公開開示
LEMは、脆弱性情報の協調開示（CVD）の慣行に従い、法律によって早期の開示が義務付けられている場合、またはユーザーを保護するために早期の開示が必要な場合を除き、お客様が修正を安全に適用できるよう、一般公開前に短期間の開示猶予期間を設ける場合があります。
開示情報には、深刻度、影響、影響を受ける製品、緩和策、およびパッチ提供の予定が含まれます。
第三者製およびオープンソースコンポーネント
LEM製品に組み込まれている第三者製またはオープンソースのコンポーネントに脆弱性が影響する場合、LEMは、CRA第13条第6項に従い、その脆弱性を当該コンポーネントの製造元または保守を担当する事業体に報告します。また、LEMが修正を開発した場合は、関連するコードまたは文書を当該事業体と共有します。LEMは、上流のメンテナーおよびその他の影響を受ける関係者と、脆弱性開示の時期を調整します。
コミュニケーションに関する対応方針
- 7営業日以内に受領確認を送付（報告者のPGP鍵を使用して暗号化）。
- 14日以内に初回の状況更新を提供。
- 修正対応が提供されるまで、定期的に進捗状況を更新。
- CRAで義務付けられている製品文書にPSIRTの連絡先情報を記載。
これらの対応方針は、LEM PSIRTページで公開されているコミットメントと整合しています。
報告者の同意を得た上で、LEMはセキュリティアドバイザリまたはその他の脆弱性に関する通知において、報告者への謝辞を掲載したり、その貢献を明記したりする場合があります。現在、LEMは公開のバグバウンティプログラムまたは金銭的報奨プログラムを実施していません。
当局への報告（CRA第14条）
「デジタル要素を含む製品」に含まれる脆弱性が実際に悪用されていることをLEMが認識した場合、LEMはCRA単一報告プラットフォームを通じて、調整担当として指定されたCSIRTおよびENISAに対し、不当に遅延することなく、いかなる場合でも24時間以内に通知します。関連情報がすでに提供されている場合を除き、LEMはCRA第14条に従い、72時間以内に脆弱性通知を提出し、是正措置または緩和措置が利用可能となった後14日以内に最終報告書を提出します。
必要に応じて、複数のベンダーに関係する場合や、より広範なエコシステムに影響が及ぶ場合には、LEMは関連する各国のCSIRT（Cyber Security Incident Response Team：コンピュータセキュリティインシデント対応チーム）とも連携することがあります。
適用除外
本ポリシーは、以下には適用されません：
- 専用機器を必要とする物理的攻撃
- ソーシャルエンジニアリング
- 法律または第三者の利用規約への違反を必要とする攻撃シナリオ
- LEMが所有または運用していないシステムもしくはインフラストラクチャに対するテスト
- LEMの文書にサポート終了として記載されている製品
- サービス拒否（DoS）テストまたはストレステスト