このページの内容
1. 答える前に確かめる順番
- 照会の対象（製品名・CVE の番号・事件）を確かめる
- 自社のサービスでの使用の有無を、構成の一覧などで確かめる
- 使っていれば、バージョン・修正版の適用・痕跡の確認の状況をまとめる
- 自社の委託先が使っている可能性があれば、委託先に照会する
- 回答の文を作り、社内の決めた人が確かめてから送る
2. 回答の型
| 状況 | 書くこと |
|---|---|
| 使っていない | 確かめた範囲・確かめた日・使っていないこと |
| 使っていて、修正済み | バージョン・適用した日・痕跡の確認の結果 |
| 使っていて、対応中 | 対応の予定日・とっている回避策 |
| 確認の途中 | 確認していること・次に連絡する日 |
お問い合わせの{{製品名}}の脆弱性（CVE-{{年}}-{{番号}}）について、{{日付}}に当社のサービスの構成を確認しました。確認した範囲では、当社のサービスで該当する製品は使っていません。
お問い合わせの件は、現在、当社と当社の委託先で確認を進めています。{{日付}}までに、確認の結果をあらためてご連絡します。
3. 避けたい書き方
| 避けたい書き方 | 理由 | 言い換え |
|---|---|---|
| 影響は一切ありません | 確かめた範囲の外のことまで言い切っている | 確認した範囲では、影響は見つかっていません |
| 問題ありません | 何を確かめたかが伝わらない | {{日付}}に{{範囲}}を確認しました |
| （返事をしない） | 取引先が判断できない | 確認中であることと、次の連絡の日を伝える |
責任の有無や賠償に関わる問い合わせには、この型では答えません。社内の決めた人と専門家に相談してください。
よくある質問
- まだ確認が終わっていないときも、返事をしたほうがよいですか。
- はい。確認していることと、次に連絡する日を伝えてください。返事が無いと、取引先は判断ができません。
原典・参考にした資料
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
- サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）「SC3（IPA が事務局）」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。