脆弱性開示ポリシー

日立エナジーは、製品およびソリューションのサイバーセキュリティを重要な責務と位置付け、製品に関する脆弱性やセキュリティ上の問題の報告を受け付けています。

当社は、ISO/IEC 29147およびISO/IEC 30111に基づく脆弱性対応プロセスを採用し、脆弱性に関する報告の受付から調査、対策、必要に応じた情報公開までを体系的に実施しています。
また、Coordinated Vulnerability Disclosure(CVD: 協調的脆弱性開示)の考え方に基づき、報告者と協力しながら、適切な対応とお客さまへの情報提供に努めています。

製品の脆弱性または製品セキュリティに関する問題を発見した場合は、日立エナジーのProduct Security Incident Response Team(PSIRT)までご報告ください。
報告窓口は [email protected]です。

報告いただく際は、対象製品名およびバージョン、脆弱性またはセキュリティ上の問題の内容、再現手順、想定される影響に加え、スクリーンショット、ログ、Proof of Concept(PoC)などの補足資料、ならびに当該脆弱性がすでに公開されているかどうかに関する情報をご提供ください。十分な情報をご提供いただくことで、迅速かつ正確な調査につながります。

日立エナジーは、脆弱性報告を受領後、原則として7日以内に受領確認を行います。その後、内容の妥当性確認、再現試験、影響範囲および深刻度の評価を実施し、対応方針を決定します。必要に応じて報告者へ追加情報の提供を依頼し、調査状況や対応状況について適宜連絡を行います。

脆弱性が確認された場合は、リスク低減策、回避策、パッチの提供その他の是正措置を検討・実施します。解決までの間は、必要に応じて報告者との連携や状況共有を行いながら対応を進めます。
また、お客さまによる適切な対策を支援するため、緩和策または対応方針が定義された段階で、サイバーセキュリティアドバイザリ等を通じて情報を公開します。特に重大度の高い脆弱性については、リスク評価に基づき優先的に対応および公表を行います。

当社は、製品のセキュリティ向上に寄与する脆弱性報告を重要なものと位置付け、研究者やお客さまとの協力のもと対応を進めています。なお、脆弱性報告に対する謝辞等は、金銭的報酬と交換されるものではありません。