QNAP Trust Center へようこそ

• 範囲：研究者、顧客、バグバウンティプラットフォーム、社内テストからの脆弱性報告を 24 時間 365 日受付。
• セキュアチャネル：OpenPGP キーを提供し、報告内容や PoC コードの暗号化送信を可能にします。
• SLA コミットメント：担当スペシャリストが 24～72 時間以内に初回の人的対応を保証します。

主な成果物：インシデント追跡 ID、担当セキュリティリード。

• 範囲: サンドボックス環境で問題を再現し、影響を受けるモデルやファームウェア、システムモジュールを評価します。
• CVSS スコアリング: CVSS 指標を活用し、重大・高・中・低の深刻度を割り当てて修正の優先順位を決定します。
• CVE 割り当て: QNAP の CNA スコープ内で、修正期限を設定し、CVE ID を独自に割り当てます。

主な成果物: 優先順位付けされた修正スケジュール。高リスクの問題は 9 時間以内に初期評価を実施します。

• 範囲: R&D がパッチや Hotfix を開発し、セキュリティチームがパッチの安定性を確認するためにペネトレーションテストやリグレッションテストを実施します。
• 二重検証: 攻撃シミュレーションを実施し、脆弱性が完全に解消されたことを確認します。
• クロスプラットフォーム QA: すべての対応 OS プラットフォームやアプリでパッケージの互換性を検証します。

主な成果物: QA により検証されたファームウェアやアプリのアップデートパッケージ。

サードパーティやアーキテクチャ依存の場合、QNAP は最終パッチのリリース日調整中も暫定的な対策を提供します。

• 対象範囲: QNAP セキュリティアドバイザリ（QSA）を発行し、脆弱性の範囲、対策、アップデートを積極的な通知で提供します。
• グローバル同期: QNAP の CNA 権限のもと、CVE レコードを cve.org へ公開し、米国 NVD などのグローバルデータベースと同期します。
• 積極的な保護: パッチリリース前の高リスク事案には、Malware Remover 定義を更新し自動マルウェアスキャン・除去を実施、Security Center を通じてセキュリティポリシーのガイダンスも提供します。

主な成果物: 公式 SA、プッシュ通知、マルウェア定義の更新、同期された CVE レコード。

• 対象範囲: 根本原因分析（RCA）を実施し、知見を DevSecOps へフィードバックし、外部研究者を表彰します。
• Shift-Left セキュリティ: シグネチャを自動 SAST/DAST ルールへ変換し、開発初期からセキュリティを組み込みます。
• 殿堂: 公式 QNAP 殿堂で貢献したセキュリティ研究者を表彰します。

主な成果物: RCA レポート、SAST/DAST ルールベースの更新、殿堂のアップデート。