セキュリティ脆弱性管理およびパッチ適用ポリシー
第 I 部 – 目的、範囲および法的根拠
条 1. 目的
1.1. 本ポリシーは、アタックサーフェス（attack surface）を縮小し、脆弱性の悪用を防止し、顧客に対する情報セキュリティへのコミットメントを維持するため、HiTechCloudのシステム全体におけるセキュリティ脆弱性の特定、評価、分類、対処、パッチ適用のプロセスを定めます。
条 2. 適用範囲
2.1. 適用対象：サーバーおよびワークステーションのオペレーティングシステム、システムソフトウェア、middleware、データベース、Webアプリケーション、API、内部ソースコード、Container image、オーケストレーション（Kubernetes）、ネットワーク機器、firmware、クラウドインフラおよび統合された第三者サービス、ソフトウェアライブラリ／依存関係（dependencies）。
条 3. 法律根拠および参照基準
- サイバーセキュリティ法2025年（法律第116/2025/QH15号）およびその施行令ならびに政令85/2016/ND-CP（分類レベルに応じた情報システムセキュリティ保障に関するもの）。
- 個人データ保護法 2025（法律第 91/2025/QH15 号）および政令 356/2025/NĐ-CP
- 2015 年刑法 (2017 年改正・補足)；
- 参照基準：CVSS v3.1/v4.0（脆弱性スコアリング）；ISO/IEC 27001:2022（A.8.8 – 技術的脆弱性管理）；NIST SP 800-40（patch management）；OWASP Top 10；CIS Benchmarks；MITRE ATT&CKフレームワークおよびCVE/NVDデータベース。
本ポリシーは情報セキュリティマネジメントシステム (ISMS) ポリシーを補完し、インシデント対応 (IR) 手順と連携して運用されます。
第 II 部 – 脆弱性の特定と評価
第4条 脆弱性識別ソース
4.1. HiTechCloudは以下の方法で脆弱性を特定します：(a) 定期的な自動脆弱性スキャン（vulnerability scanning）；(b) 第三者によるペネトレーションテスト（penetration testing）；(c) アラート情報源の監視：NVD/CVE、VNCERT/CC、ソフトウェアサービス提供者、Threat intelligenceフィード；(d) Responsible Disclosure/Bug Bountyプログラム（適用される場合）；(e) CI/CD pipelineにおけるソースコードセキュリティレビュー（SAST/DAST/SCA）。
第 5 条 スキャン頻度
5.1. パブリック向け（Internet-facing）システム：毎週スキャン。内部システム：毎月スキャン。インフラ／アプリケーションの重大な変更後：本番環境への導入前に必須の追加スキャンを実施。Container image：build 時および Registry 上で定期的にスキャン。
条6. 重大度分類（CVSS に基づく）
| レベル | CVSS号 | 確認後の最大パッチ適用期限 |
|---|---|---|
| Critical | 9.0 – 10.0 | 7日間(重大:緊急保守SLAの下で即座に適用) |
| High | 7.0 – 8.9 | 30日 |
| Medium | 4.0 – 6.9 | 90日 |
| Low | 0.1 – 3.9 | 180 日間または定期メンテナンス周期に従い |
6.1. 実際に悪用されている脆弱性（actively exploited / zero-day）または公開されたエクスプロイトコード（PoC）が存在する脆弱性については、パッチ適用の期限を最大限短縮し、CVSSスコアにかかわらず重大体制で処理され、インシデント対応プロセスと連携して対応します。
6.2. ベース CVSS スコアは環境に合わせて調整されます（環境スコア）：レベル 4 データを処理するシステム（ISMS 分類による）および高クリティカルシステムは、より早期のパッチ適用を優先されます。
パート III – パッチ適用プロセス
第 7 条 標準プロセス
7.1. 処理手順：(a) 脆弱性の受付および検証（False positive の排除）；(b) 影響度および影響範囲の評価；(c) パッチ計画の策定および staging 環境でのテスト；(d) 変更管理（Change Management）プロセスに基づく変更の承認；(e) 本番環境へのパッチのデプロイ；(f) パッチ適用後の検証（verify）および Ticket のクローズ；(g) 脆弱性記録の更新。
7.2. すべてのパッチは本番環境への適用前にstaging環境でテストする必要があります。ただし、悪用されている脆弱性に対する緊急パッチ（emergency patch）は除きます。この場合は、Incident Commanderの承認を得て迅速にデプロイし、適用後に厳格な監視を行うことができます。
条 8. 一時的な緩和措置（Mitigation）
8.1. 直ちにパッチを適用できない場合（パッチが未提供、またはパッチが競合を引き起こす場合）、HiTechCloudは正式なパッチ適用までの一時的な緩和策（WAF／firewallでのブロック、影響を受ける機能の無効化、監視の強化、ネットワークセグメンテーション、または代替制御［compensating control］）を適用します。
第9条 変更管理およびメンテナンスウィンドウ
9.1. パッチ適用は変更管理プロセスに準拠し、サービスレベル合意（SLA）に基づくメンテナンスウィンドウ内で実施されます。重大パッチは重大保守メカニズムに従って適用されます（最低30分前の事前通知、4時間以内に完了した場合はSLAのDowntimeとしてカウントされません）。
9.2. パッチによってエラーが発生した場合に備え、すべての変更にはリストア計画（rollback plan）が必要です。
パートIV – 責任、報告、効力
条 10. 責任と共有責任モデル
10.1. HiTechCloud の責任 HiTechCloudが管理するインフラ、プラットフォーム、およびオペレーティングシステム層での脆弱性修正（managed services）。
10.2. 顧客の責任 顧客がサービス上で自己デプロイしたアプリケーション、ソースコード、CMS（WordPress、プラグイン…）、ライブラリおよびソフトウェアのパッチ適用と更新（unmanaged/self-managed）。HiTechCloudは、アラートまたは別途応相談にて有償のパッチ適用サービスを提供することができます。
10.3. 情報セキュリティ責任者 (ISO) がリード。システム運用チームが実施。脆弱性状況は情報セキュリティ委員会 (ISC) に報告。
第11条 レポートと測定
11.1. HiTechCloud は以下のメトリクスを追跡します: 重大度別の脆弱性数、各重大度レベルの平均修復時間 (MTTR)、定時パッチ適用率 (SLA コンプライアンス)、支払期限超過の未解決脆弱性数。
11.2. 脆弱性管理レポートは四半期ごとに ISC に提出されます。支払期限超過の Critical 脆弱性は本部長に報告する必要があります。
条 12. 責任ある公開（Responsible Disclosure）
12.1. HiTechCloud はセキュリティ研究者からの脆弱性報告を以下経由で受け付けています security@photuesoftware.com善意の報告者に対して法的措置を取らないことを約束し、許可された範囲のコンプライアンスを遵守し、HiTechCloud が修正する前に悪用または公開開示がないことを約束します。テストは許可された範囲内である必要があり、利用規約第7条、不正利用報告ポリシーおよび 2025年 サイバーセキュリティ法に違反してはなりません。
第13条 効力
13.1. 本規定は 2026 年 7 月 1 日から効力を有し、最低 12 ヶ月ごとに見直されます。ベトナム語版が最高の法的効力を有します。
