CVD ポリシー
脆弱性の協調的な取り扱いと開示ポリシー | Prodrive Technologies
発効日：2026年8月8日
Prodrive Technologiesは、製品のユーザーの安全とセキュリティをサポートすることに取り組んでいます。当社は、製品、ソリューション、サービス、およびITインフラストラクチャのセキュリティ確保に対して、包括的かつ総合的なアプローチを採用しています。Prodrive Technologiesは、製品ポートフォリオおよびITインフラストラクチャにおける報告されたセキュリティ脆弱性を取り扱うプロセスを正式に策定しました。
Prodrive Technologiesは、脆弱性を報告していただいた方と誠実に協力する準備が整っています。Prodrive Technologiesは、現在掲載されているProdrive Technologies製品およびソリューションに関する報告を広く受け付けています。Prodrive Technologiesは、以下の条件を満たす方に対して法的措置を取る意図はありません：
誰にも危害を加えず、またサービス拒否（DoS）を引き起こさない方法でシステムのテスト・調査を行う。
顧客に影響を与えない製品でテストを行う、または顧客のデバイス・ソフトウェア等に対して脆弱性テストを実施する前に顧客から許可・同意を得る。
適用される法律を遵守する。
協調的な開示を行う、すなわち相互に合意した期間が終了するまで脆弱性の詳細を公開しない。
いかなる人の安全やプライバシーへの影響も避ける。
発見された脆弱性の使用は、その特定と検証に必要な活動のみに限定されなければなりません。この目的に必要な範囲を超えてデータにアクセス、ダウンロード、変更、または削除することは許可されていません。
Prodrive Technologiesは、バグバウンティや金銭的報酬プログラムを運営していません。脆弱性レポートの提出は、補償、払い戻し、または報酬を受ける権利を生じさせるものではありません。それでも、Prodrive Technologiesは責任ある開示に感謝し、セキュリティ研究コミュニティからの貢献を高く評価しています。
Prodrive Technologiesにおける脆弱性取り扱いプロセスは、以下の4つのステップで構成されています：
報告
Prodrive Technologies製品に影響するセキュリティ脆弱性を報告するには、脆弱性連絡先情報セクションに記載されている連絡先をご利用ください。脆弱性の評価と再現を支援するために、以下に記載された情報を含めてください。Prodrive Technologiesは通常、1営業日以内に脆弱性報告を確認します。
以下の情報を報告してください：
概念実証エクスプロイトコードやネットワークトレース（利用可能な場合）を含む脆弱性の説明
モデルおよびファームウェアバージョンを含む影響を受ける製品（利用可能な場合）
脆弱性の公開状況（既に公開されているか？）
可能な緩和策と推奨事項
サービス契約や製品ライフサイクルの状況に関わらず、発見された脆弱性の報告が奨励されています。Prodrive Technologiesは、報告の前提条件として秘密保持契約を必要としないため、研究者、業界グループ、CERT、パートナー、その他あらゆる情報源からの脆弱性報告を歓迎します。Prodrive Technologiesは報告者の利益を尊重し（要望があれば匿名報告も受け付けます）、Prodrive Technologies製品に関連すると合理的に判断されるすべての脆弱性に対応することに同意します。
Prodrive Technologiesは、報告者に協調的な開示を行うよう強く促しています。即時の公開はいわゆる「0-dayの状況」を引き起こし、Prodrive Technologiesおよびその顧客のシステムを不必要なリスクにさらすことになるためです。
分析
Prodrive Technologiesは脆弱性を調査し、再現します。必要に応じて、Prodrive Technologiesは報告者に追加情報を求める場合があります。
取り扱い
Prodrive Technologiesは、担当チームと協力して内部的な脆弱性対応を行います。現在の状況を報告し、ベンダーの立場が報告者に理解されるよう確認するため、Prodrive Technologiesと報告者の間で定期的なコミュニケーションが維持されます。利用可能な場合、ソフトウェア修正のプレリリース版が検証のために報告者に提供されることがあります。
開示
問題が正常に分析され、脆弱性に対処するための修正が必要な場合、対応する修正が開発され、配布の準備が整えられます。Prodrive Technologiesは既存の顧客通知プロセスを使用してパッチのリリースを管理します。
顧客への通知には通常、以下の情報が含まれます：
CVE参照およびCVSSスコアを含む脆弱性の説明
影響が確認された製品およびソフトウェア・ハードウェアバージョンの情報
緩和要因および回避策に関する情報
利用可能な修正プログラムの所在
脆弱性連絡先情報
Prodrive Technologies CSIRT / PSIRT
製品、ソリューション、サービスに関する脆弱性報告の連絡先