デモを申し込む

脆弱性対応方針

はじめにアーチャーは、当社製品におけるセキュリティ脆弱性に関連するリスクを、お客様が最小限に抑えられるよう支援することに努めています。当社の目標は、脆弱性に対処するための情報、ガイダンス、および緩和策を、適時にお客様に提供することです。アーチャー脆弱性対応チーム（Archer VRT）は、アーチャーに報告されたすべての製品脆弱性に対する対応および開示を調整する役割を担っています。

セキュリティの脆弱性を報告する方法Archer製品にセキュリティの脆弱性を発見した場合は、直ちに弊社までご報告ください。テクニカルサポートを利用できないセキュリティ研究者、業界団体、ベンダー、およびその他のユーザーは、脆弱性に関する報告を Archer VRTへメールにて直接送信してくださいで直接Archer VRTに送信してください。セキュリティ脆弱性を早期に特定することは、お客様への潜在的なリスクを軽減するために極めて重要です。Archerのお客様およびパートナー様は、Archer製品で発見されたセキュリティ脆弱性を報告する際、それぞれのテクニカルサポートチームにご連絡ください。テクニカルサポートチーム、該当する製品チーム、およびArcher VRTが連携して報告された問題に対処し、必要に応じてお客様に今後の対応手順をご案内いたします。潜在的なセキュリティ脆弱性を報告する際は、報告された問題の性質と範囲をより正確に把握できるよう、以下の情報をご提供ください：

  • この脆弱性を含む製品名およびバージョン
  • 問題が再現された環境またはシステム情報（例：製品型番、OSのバージョンなど）
  • 脆弱性の種類および／または分類（XSS、バッファオーバーフロー、RCE、CWEなど）
  • この脆弱性を再現するための手順
  • 概念実証（PoC）またはエクスプロイトコード
  • この脆弱性が及ぼす可能性のある影響

脆弱性報告への対応アーチャーは、セキュリティ研究者との良好な関係の維持を重視しており、研究者の同意を得た上で、有効なセキュリティ脆弱性を発見し、その問題をアーチャーVRTに非公開で報告した研究者を表彰する場合があります。その見返りとして、研究者の皆様には、セキュリティ脆弱性を公に開示する前に、当社が修正を行う機会を与えていただくようお願いいたします。 Archerは、セキュリティ脆弱性の公開に関する調整を行うことが、お客様を保護する上で極めて重要であると考えています。本ポリシーに基づき、脆弱性に関する開示されたすべての情報は、その情報がすでに公知でない限り、修正策が利用可能になり、開示活動が調整されるまで、Archerと報告者の間でのみ共有されるものとします。

脆弱性の修正報告された脆弱性について調査および検証を行った後、Archerのサポート対象製品に対して、Archerの協力を得て適切な修正策を開発・検証します。修正策は、以下のいずれか、または複数の形式をとる場合があります：

  • Archer社がパッケージ化した当該製品の新バージョン；
  • 当該製品に上書きインストール可能な、Archerが提供するパッチ；
  • この脆弱性を軽減するために必要な、サードパーティベンダー提供のアップデートまたはパッチをダウンロードおよびインストールするための手順；
  • Archer社が公開した、この脆弱性の影響を軽減するために製品の設定を調整するようユーザーに指示する修正手順または回避策。

アーチャーは、商業的に妥当な最短期間で是正措置または対応策を講じるよう最善を尽くします。対応にかかる期間は、問題の深刻度、影響の範囲、是正措置の複雑さ、影響を受けるコンポーネント（例：一部の更新では検証サイクルが長くなる場合や、メジャーリリースでのみ更新可能な場合など）、製品のライフサイクルにおける段階、事業運営の状況など、多くの要因によって異なります。

影響度および深刻度の評価　Archerでは現在、 Common Vulnerability Scoring System バージョン3.1（CVSS v3.1）というオープンフレームワークを採用し、ソフトウェアの脆弱性の特性や深刻度を伝達しています。脆弱性を悪用するために必要な労力のレベルや、悪用が成功した場合にデータや事業活動に及ぼす潜在的な影響など、多くの要素が考慮されています。 セキュリティアドバイザリの全体的な影響度は、特定されたすべての脆弱性の中で最も高いCVSSベーススコアに対して、CVSSの定性的深刻度評価尺度に従った深刻度（すなわち、クリティカル、高、中、低）を文章で表したものです。該当する場合、Archerはアドバイザリの全体的な影響度、および特定された各脆弱性についてCVSS v3.1ベーススコアと対応するCVSS v3.1ベクトルを提供します。 Archerは、すべてのお客様に対し、全体的なリスクを評価する際には、ベーススコアに加え、お客様の環境に関連する可能性のある時間的および／または環境的指標の両方を考慮することを推奨します。修正策の通知通常、修正策は、該当する場合、Archerセキュリティアドバイザリを通じてお客様に通知されます。お客様を保護するため、Archerは、影響を受けるArcher製品に対する修正策が整い次第、Archerコミュニティを通じてセキュリティアドバイザリを公開するよう努めています。 ただし、Archer製品で使用されているコンポーネントに関する公開情報や広く知られている脆弱性に対して適切に対応するため、Archerはセキュリティアドバイザリを早期に公開する場合があります。Archerセキュリティアドバイザリは、お客様が脆弱性の影響を評価し、潜在的に脆弱な製品を修正できるよう、詳細情報を提供することを目的としています。悪意のあるユーザーが情報を悪用し、Archerのお客様に損害を与える可能性を低減するため、詳細情報の公開は制限される場合があります。Archerセキュリティアドバイザリには通常、該当する場合、以下の情報が含まれます：

  • 全体的な影響度とは、特定されたすべての脆弱性の中で最も高いCVSSベーススコアに対して、CVSSの「重大度定性的評価尺度」に従って割り当てられた重大度（すなわち、重大、高、中、低）をテキスト形式で表したものです。
  • 影響を受ける製品およびバージョン：
  • 特定されたすべての脆弱性に対するCVSSベーススコアおよびベクトル；
  • 共通脆弱性番号付け （CVE）識別子を、特定されたすべての脆弱性に付与し、個々の脆弱性に関する情報を、さまざまな脆弱性管理機能（脆弱性スキャナ、リポジトリ、サービスなど）間で共有できるようにすること；
  • 特定された脆弱性の概要および悪用された場合の潜在的な影響；
  • 修復の詳細および最新情報・回避策に関する情報；

この脆弱性を非公開で報告し、必要に応じてArcherと連携して公開の調整を行った発見者の方々に感謝申し上げます。

追加の開示情報アーチャーでは、ポリシーとして、「アーチャー・セキュリティ・アドバイザリ」およびリリースノート、ナレッジベース記事、FAQなどの関連文書に記載されている内容を超える脆弱性に関する情報は提供しておりません。また、特定された脆弱性に対するエクスプロイトコードや概念実証（PoC）コードの配布も行いません。業界の慣行に従い、アーチャーは、内部セキュリティテストやその他のセキュリティ活動で得られた調査結果を外部の組織と共有することはありません。

その他のセキュリティ上の問題についてアーチャーへの通知

Archerにその他のセキュリティ上の問題を報告する場合は、以下に記載されている適切な連絡先をご利用ください：

ArcherIRM.comまたはその他のオンラインサービス、ウェブアプリケーション、資産におけるセキュリティ上の脆弱性や問題を報告するには、以下のURLから報告を行ってください。 security@archerirm.com に、問題を再現するための手順を詳細に記載して、レポートを送信してください。

プライバシーに関するご要望やご質問をお寄せいただく場合は、以下をご覧ください。 Archerのプライバシーページをご覧ください。

お客様の権利：保証、サポート、および保守アーチャーのお客様が享受する保証、サポート、および保守に関する権利（アーチャーのソフトウェア製品における脆弱性を含む）は、アーチャーと個々のお客様との間で締結された適用される契約によって規定されます。本ウェブページに記載されている内容は、お客様の権利を変更、拡大、またはその他の方法で修正するものではなく、また、追加の保証を創設するものでもありません。

免責事項「Archer脆弱性対応ポリシー」のあらゆる内容は、予告なく、またケースバイケースで変更される場合があります。特定の問題または問題の分類に対する対応は保証されません。本ドキュメントに含まれる情報、または本ドキュメントからリンクされている資料の利用は、利用者ご自身の責任において行ってください。Archerは、独自の裁量により、予告なくいつでも本ドキュメントを変更または更新する権利を留保します。