セキュリティ情報

概要

OPC Foundationは、自社が保守または配布するソフトウェアに影響を与えるセキュリティ情報を公表しています。多くの場合、これらの勧告はOPCベンダーが自社製品に組み込むコードに影響します。その結果、ベンダーは特定された脆弱性に対処するため、自社製品にパッチを適用する必要があります。

脆弱性やセキュリティに関する懸念は、’securityteam AT opcfoundation DOT org’までご報告ください。
機密性の高いセキュリティレポートを暗号化するためのPGPキーは、こちらで入手できます。

プロセス

問題が報告されると、OPC Foundation はCommon Vulnerability Scoring System を使用して脆弱性を評価し、MITRE に CVE 番号を要求します。ベンダーは、製品のアップデートを公開する際に CVE 番号を使用することが推奨されます。これにより、ユーザは製品のパッチとOPC Foundation によって報告された脆弱性を関連付けることができます。

脆弱性が報告されると、まずOPC UAセキュリティWGで検討され、最適な対策が決定されます。SDKベンダーのメーリングリストには、SDKベンダー側の対応が必要となる問題が報告された旨の通知が送られます。なぜなら、多くのOPC製品はSDKで構築されており、脆弱性に対処するにはまずSDKをアップデートする必要があるからです。脆弱性が公表される前に通知を希望するメンバーは、OPC Foundation 、UAセキュリティWGへの参加リクエストを送信してください。

レビュー後、セキュリティWGは、脆弱性を公表するためのタイムラインを設定する。時間軸は、脆弱性の深刻度と、SDKベンダーが自社製品用のパッチを作成するのに必要な時間に依存します。脆弱性が公開されると、更新されたソフトウェアがどこで入手できるかの詳細とともに、このページに掲載されます。新しいセキュリティ情報が公開された際に通知を受け取りたい一般の方は、OPCセキュリティ情報Googleグループにご参加ください。

脆弱性が公表されると、OPC Foundation がMITRE に通知する。つまり、MITRE のデータベースで公開されることになる。NISTも自動的にCVEをデータベースに追加する。