Wind River Product Security Incident Response Team (PSIRT)
Wind River PSIRTは、Wind Riverがサポートする製品全般におけるセキュリティ脆弱性、アラート、およびインシデントの受付、調整、ならびに迅速な解決を主導しています。
Wind River® PSIRTは、お客様、関係当局、セキュリティコミュニティと連携するとともに、SDL（セキュア開発ライフサイクル）のポリシーおよび標準を推進するセキュリティオフィスと協力しながら、開発チームやセキュリティチャンピオンがサポート対象製品のセキュリティ問題を迅速に特定・解決できるよう、プロセスと手順を整備しています。これらの活動は、FIRST.org PSIRT Services FrameworkおよびISO/IEC 30111、ISO/IEC 29147に準拠しています。また、Wind Riverの脆弱性開示に関する取り組みは、DoDI 8531.01およびCISAのVulnerability Disclosure Program（VDP）の開示目標に対応するとともに、EUサイバーレジリエンス法（CRA）第II章第14条で定められたサイバーセキュリティ脆弱性およびインシデント報告義務にも準拠しています。
Wind River PSIRT ポリシー
Wind Riverは、機密性を保持した脆弱性報告、適時の問題解決、そして修正策が利用可能になった段階で双方が合意したスケジュールに基づく情報公開を含む、責任ある脆弱性開示を重視し、支援しています。
報告者は、Wind River製品における脆弱性を説明し再現できるよう、十分な情報を提供する必要があります。具体的には、以下の情報が含まれます：
- CVE番号（該当する場合）
- 影響を受ける製品またはコンポーネント
- Wind Riverが提供する製品への適用性
- ソフトウェアのバージョン
- 脆弱性の説明およびその発生箇所
- 脆弱性を再現するための技術的詳細
- 利用可能な場合は、概念実証（PoC）エクスプロイトコード
- 連絡先情報（フォローアップおよび確認用）
製品のセキュリティ脆弱性を機密扱いとして報告される場合は、Wind RiverのPGP公開鍵を使用してメッセージを暗号化し、PSIRT@windriver.com 宛てにメールをお送りください。
Wind River PSIRTは、報告された脆弱性の受領を確認し、その深刻度および影響度に応じて、報告者に連絡のうえ解決計画について協議します。現在、金銭的なバグバウンティプログラムは提供していませんが、本ポリシーに従って報告を行った研究者に対しては、公に謝意を表明しています。また、Wind River製品に関する固有かつ未修正の脆弱性については、新たなCVE登録を支援しています。
さらに、Wind RiverはEUサイバーレジリエンス法（CRA）第II章第14条で定められた報告義務を遵守する取り組みの一環として、欧州連合サイバーセキュリティ機関（ENISA）および指定されたCSIRTとの報告・協力義務を履行しています。その際、適用される機密保持要件、情報分類要件、および情報開示要件に従って情報を取り扱います。
Wind Riverは、セキュリティ情報およびセキュリティセンターから参照可能な包括的な脆弱性データベースを通じて、サポート対象製品に関する脆弱性情報と修正内容を継続的かつ適時に提供しています。メンテナンスフェーズの製品に対する脆弱性対応は、有効なLong-Term Security Shield（LTSS）契約を締結しているお客様に提供されます。一方、Extended Maintenanceフェーズの製品については、別途プロフェッショナルサービス契約が必要となります。