1. 目的
当社は、デジタル要素を含む製品の安全性および信頼性を確保するため、製品ライフサイクル全体においてサイバーセキュリティ対策を実施し、欧州サイバーレジリエンス法（Cyber Resilience Act：CRA）を含む関連法規・規格への適合を推進します。

2. 適用範囲
本方針は、当社が設計、開発、製造、販売、保守するすべてのデジタル要素を有する製品および関連サービスに適用されます。

3. 基本方針
当社は、以下の原則に基づき製品セキュリティを確保します。
•セキュリティ・バイ・デザインおよびデフォルトの実装
•製品ライフサイクル全体にわたるリスク管理
•継続的な改善と監査
•透明性のある情報公開

4. 製品セキュリティ体制（PSIRT）
当社は、製品セキュリティ対応の中核組織としてPSIRT（Product Security Incident Response Team）を設置し、以下を実施します。
•脆弱性情報の収集・分析・評価
•インシデント対応の指揮・統括
•社内外ステークホルダーとの連携
•当局および関係機関への報告

5. 脆弱性対応および開示
当社は、協調的脆弱性開示の原則に基づき、以下を実施します。
•脆弱性報告窓口の設置および公開
•脆弱性の迅速な評価および対応
•必要に応じたセキュリティアップデートの提供
•利用者への情報提供および注意喚起

6. リスク管理およびセキュア開発
当社は、以下の取り組みを実施します。
•脅威分析およびリスクアセスメント
•セキュア開発ライフサイクルの導入
•ソフトウェア部品管理（SBOM等）
•サプライチェーンセキュリティの確保

7. インシデント対応および報告
当社は、重大な脆弱性またはセキュリティインシデントを認識した場合、以下を実施します。
•迅速な初動対応および影響分析
•関係当局への報告（適用規制に準拠）
•利用者への適切な通知
•再発防止策の実施

8. サポートおよびアップデート
当社は、製品のライフサイクル期間中、適切なセキュリティサポートを提供します。
•セキュリティアップデートの提供
•長期サポート方針の明確化
•サポート終了時の対応指針提示

9. 法令遵守および国際標準
当社は以下を遵守します。
•欧州CRA（Cyber Resilience Act）
•ISO/IEC 29147（脆弱性開示）
•ISO/IEC 30111（脆弱性対応）
•その他関連する法令・標準

10. 継続的改善
当社は、本方針および関連プロセスを定期的に見直し、継続的な改善を行います。

制定日：2026年7月9日

当社製品に脆弱性の可能性を発見された場合は、以下までご連絡ください。
psirt@optex.co.jp