Dahua Technology、製品脆弱性の管理・開示に関する国際規格「ISO/IEC 29147・30111」の認証を取得

Dahua Technology Japan合同会社（本社：東京都中央区、以下「Dahua Japan」）は、Zhejiang Dahua Technology Co., Ltd.（以下「Dahua」）が、製品脆弱性の管理・開示に関する国際規格「ISO/IEC 29147:2018」および「ISO/IEC 30111:2019」の認証を、BSI（英国規格協会）より取得したことをお知らせします。

今回の認証取得は、Dahuaが製品ライフサイクルにおける脆弱性の管理・開示および対応プロセスを国際規格に基づく取り組みとして構築していることが評価されたものであり、製品セキュリティに対する継続的な取り組みを示すものです。

また、Dahua Japanでは、日本のお客様にも製品セキュリティに関する情報を日本語で確認いただける「トラストセンター」を運営し、脆弱性情報、セキュリティアドバイザリ、セキュリティ通知、脆弱性の報告窓口など、製品セキュリティに関する各種情報を公開しています。

■ ISO/IEC 29147・30111とは

ISO/IEC 29147:2018およびISO/IEC 30111:2019は、ISO（国際標準化機構）とIEC（国際電気標準会議）が策定する、製品脆弱性の管理・開示に関する国際規格です。

ISO/IEC 29147は、製品の脆弱性に関する情報を受け付け、関係者に必要な情報を適切に伝達するための「脆弱性開示」に関する指針を定めています。

一方、ISO/IEC 30111は、報告された脆弱性について、検証、リスク評価、修正、関係者との調整、継続的な改善などを行う「脆弱性対応プロセス」に関する指針を定めています。

今回の認証取得は、Dahuaが構築してきた脆弱性の開示・対応プロセスが、これらの国際規格に基づく取り組みとして評価されたことを示しています。

■ Dahua PSIRTによる脆弱性への一貫した対応

Dahuaでは、製品やソリューションに関するセキュリティ脆弱性への対応を専門に行う「Dahua Product Security Incident Response Team（Dahua PSIRT）」を設置しています。

Dahua PSIRTは、ユーザー、パートナー、セキュリティ研究者などから報告された脆弱性について、関係部門と連携しながら、以下のような一連のプロセスで対応しています。

脆弱性の受付 → 検証・確認 → リスク評価 → 修正対応 → 情報開示 → 継続的な改善

Dahua PSIRTは、研究開発、テスト、製品、デリバリー、サービスなどの各部門と連携し、脆弱性への迅速な対応と、対応完了までの一貫した管理に取り組んでいます。

このようなプロセスを通じて、製品の開発・出荷後を含むライフサイクル全体におけるセキュリティ対応の強化を進めています。

■ 日本市場向け「トラストセンター」

Dahua Japanでは、日本のお客様にも製品セキュリティに関する情報を分かりやすく提供するため、日本向けWebサイトに「トラストセンター」を設けています。

日本向けトラストセンターでは、製品セキュリティに関する各種情報を日本語で確認できるほか、以下のような情報を掲載しています。

・セキュリティアドバイザリ
・セキュリティ通知
・脆弱性の報告窓口
・脆弱性への対応プロセス
・過去の脆弱性への対応情報
・製品セキュリティに関する各種資料

これにより、日本のお客様やパートナー企業がDahua製品のセキュリティに関する情報を確認し、必要な対応を検討しやすい環境を整えています。

Dahua Technology Japan トラストセンター

■ 日本のお客様向けサポート体制

脆弱性に関する情報や修正版ソフトウェアについては、トラストセンターおよびDahua JapanのWebサイトを通じて順次ご案内しています。

製品のご利用中にセキュリティに関する懸念が確認された場合や、修正版ソフトウェアへのアップデートについてご不明な点がある場合は、Dahua Japanのテクニカルサポートまでお問い合わせください。

必要に応じて、対象製品やソフトウェアバージョンの確認、アップデートに関するご案内など、お客様の状況に応じたサポートを行います。

また、セキュリティ上の問題が製品の不具合と関連している可能性がある場合には、通常のアフターサービスおよびRMA対応とも連携し、状況の確認と必要な対応を行います。

■ 製品ライフサイクル全体を通じた継続的なセキュリティ対応

ネットワークカメラをはじめとするIoT・AIoT製品は、導入後もネットワーク環境に接続された状態で長期間利用されるケースがあります。

そのため、製品の開発・出荷時だけでなく、製品の運用期間中に発生する可能性のある脆弱性について、適切に発見・評価・修正・開示するための仕組みを継続的に整備することが重要です。

Dahuaは、製品セキュリティを製品ライフサイクル全体に関わる重要な取り組みとして位置付け、セキュアな製品開発、セキュリティ評価、脆弱性対応、情報開示など、各段階におけるセキュリティ体制の強化を進めています。

今回のISO/IEC 29147・30111認証取得も、こうした取り組みの一環です。

■ 今後について

Dahuaは今後も、サイバーセキュリティおよびプライバシー保護に関する技術・体制の強化を継続し、製品ライフサイクル全体にセキュリティの考え方を組み込んでいきます。

日本市場においても、トラストセンターを通じたセキュリティ情報の公開や、脆弱性対応に関する情報提供を継続するとともに、日本のお客様へのテクニカルサポートおよびアフターサービスを通じて、安心してDahua製品・ソリューションをご利用いただける環境づくりに取り組んでまいります。

Dahuaは、これからも「セキュリティ」と「信頼」をAIoT社会の重要な基盤と位置付け、より安全で信頼性の高い製品・ソリューションの提供を目指してまいります。