ミマキエンジニアリング　脆弱性公開ポリシー
（Cybersecurity Vulnerability Disclosure Policy）

1. 目的

株式会社ミマキエンジニアリングは、当社製品のサイバーセキュリティ確保を重要な責任と認識しています。
当社製品に関する脆弱性について、顧客、販売代理店、セキュリティ研究者その他の関係者から適切に情報提供いただき、迅速な分析・是正につなげることを目的として、本ポリシーを定めます。

2. 対象製品

本ポリシーは以下の製品等に適用します。⇒具体的な製品等はこちら

• ネットワーク接続機能を有するプリンタ
• ソフトウェア
• クラウドサービス
• ファームウェア
• その他デジタル要素を含む製品

3. 報告窓口

CRAに関する脆弱性情報は以下窓口へ報告してください。

E-mail
cra-report@emea.mimaki.com
または
Webフォーム
CRA Incident Assessment Report

4. 報告時に提供いただきたい情報

以下の情報を可能な限りご提供ください。

• 製品名
• 機種名
• ソフトウェア／ファームウェアバージョン
• 発見日時
• 脆弱性内容
• 再現手順
• 影響範囲
• 検証結果
• 提案される対策

5. ミマキの対応方針

当社は受領した報告について以下の手順で対応します。

① 受付確認

受付後速やかに受領通知

②初期評価

脆弱性の有無を確認

③リスク評価

以下を評価

• 機密性への影響
• 完全性への影響
• 可用性への影響
• 攻撃容易性
• 想定顧客影響

④対策実施

必要に応じ

• ソフトウェア修正
• ファームウェア更新
• 回避策提示
• 顧客通知

を行います。

6. 情報公開

脆弱性が修正された後、必要に応じて以下を公開します。

• 脆弱性概要
• CVE番号／CVSS
• 対象製品
• 影響範囲
• 攻撃可能性
• 対策内容
• 更新方法

なお、修正前の脆弱性情報公開は、顧客保護の観点から制限する場合があります。

7. 善意の研究活動への対応

当社は、本ポリシーに従い善意で脆弱性を報告いただいた研究者に対し、不必要な法的措置を行いません。
ただし以下は禁止します。

• 顧客データ取得
• サービス妨害
• 個人情報取得
• 不正アクセス
• システム破壊行為
• その他当社判断により禁止行為と特定した事項

8. CRA報告対応

製品に重大な脆弱性又は実際の攻撃利用が確認された場合、当社はCyber Resilience Actその他適用法令に基づき、EU当局への報告を実施します。CRAでは、積極的に悪用されている脆弱性について24時間以内の初動報告、72時間以内の詳細報告等が求められています。

以上