サイバーセキュリティ

セキュリティ脆弱性開示ポリシー

Policy 1

セキュリティ脆弱性対応センター (S-CERT)

Hanwha VisionのS-CERT*1部門は、Hanwha VisionのWISENET製品のセキュリティ脆弱性に対応し、脆弱性発生時に迅速に対応（分析および対策準備）する専任チームです。

お使いの製品にセキュリティ脆弱性の症状が見られる場合は、詳細な製品情報と症状の再現方法を添えて、S-CERT（secure.cctv@hanwha.com）までご連絡ください。

※ S-CERTは、ホームページ（https://www.hanwhavision.com/）の脆弱性、製品サポート、機能リクエストに関する要求には対応しません。

• S-CERT：セキュリティコンピュータ緊急対応チーム

Policy 2

セキュリティ脆弱性対応プロセス

セキュリティ脆弱性の報告を受け取った際には、直ちにセキュリティ侵害事故対策会議を開催します。セキュリティ脆弱性の報告者は、2営業日以内に初期対応を受けることができ、脆弱性に関連するメーカーの今後の対応および配布計画については10営業日以内に回答を受け取ることができます。

その後、報告された案件がクローズされるまで、進捗に変化があるたびに状況を更新し、報告者と別の間隔で合意がない限り、いかなる場合でも少なくとも90日ごとに状況を報告します。修正が完了した場合や修正なしで案件がクローズされた場合（例：脆弱性ではないと判断された場合、または修正を行わない決定がなされた場合）には、報告者に結果を通知します。

改良された脆弱性を含むファームウェアおよび脆弱性の詳細は、受領から90日間、または報告者と相互に合意した日まで公開されません。透明かつ効率的なセキュリティ脆弱性管理のために、2023年9月より、Hanwha VisionはCVEプログラムにCNAとして参加し、CVE脆弱性を直接登録・管理できる体制を整え、社内顧客向けのバグバウンティプログラムを運営しています。

Policy 3

セキュリティ脆弱性通知ポリシー

脆弱性修正ファームウェアは、脆弱性報告書とともにウェブサイトにアップロードされます。

脆弱性の詳細（脆弱性内容、影響を受ける製品情報／ファームウェアバージョン、リスク、対策など）は、ゼロデイ攻撃防止のため、修正ファームウェアがウェブサイトで公開されるまで開示されません。

攻撃シナリオなどの詳細は、模倣攻撃防止のため開示されません。
複数の製品が脆弱性の影響を受ける場合は、対応するファームウェアパッチが同時にリリースされます。