- PSIRTProduct Security Incident Response Team
- 製品やサービスの開発元の中で、自社製品の脆弱性の報告を受け、修正と公表を受け持つチームや機能。
このページの内容
意味
PSIRT は、自社が作る製品の脆弱性を扱う組織の機能です。外部からの脆弱性の報告を受け付け、調べ、修正版を作り、利用者へ公表します。FIRST は「PSIRT Services Framework」で、その役割を整理しています。社内の事件に対応する CSIRT とは、見る対象が違います。
| 観点 | CSIRT | PSIRT |
|---|---|---|
| 見る対象 | 自社の組織・システム | 自社が作って売る製品 |
| 主な相手 | 社内の部署・委託先 | 製品の利用者・脆弱性の報告者 |
| 出すもの | 社内の対応・報告 | セキュリティの公表・修正版 |
事件のときの見方
- 製品の脆弱性の一次の情報は、開発元の PSIRT の公表（セキュリティアドバイザリ）であることが多い。事件の要点ではそこへリンクする
- 自社が製品を作って売っているなら、お客様からの照会の窓口は PSIRT（または担当者）にまとめると答えやすい
当社製品の{{製品名}}は、今回公表された脆弱性（CVE-{{年}}-{{番号}}）の影響を受けません。確認の内容は、当社のセキュリティのお知らせ（{{URL}}）に掲載しています。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- FIRST「PSIRT Services Framework」
- JPCERT/CC・IPA「Japan Vulnerability Notes（JVN）」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。