製品セキュリティ
と EU サイバーレジリエンス法

確実にお約束できること

このページに記載した事項は、コンプライアンス担当者が通常わざわざ問い合わせる必要のある内容です。そのまま監査資料に綴じられるよう、ここに明記しています。

お客様の CRA 義務における ProEssentials の位置づけ

サイバーレジリエンス法では、完成品を EU 市場に投入する企業がその製造者となり、第13条(5)により、統合するサードパーティ製コンポーネントが完成品のセキュリティを損なわないよう、製造者にデューデリジェンスが義務づけられます。ProEssentials を含むアプリケーションを出荷する場合、その義務はお客様にあり、ProEssentials はそのコンポーネントの一つです。

実務的には、ProEssentials を評価したこと、そしてその供給元に実効性のある脆弱性対応プロセスがあることを、監査ファイルで示す必要があります。このページはその証跡となるよう書かれています。以下の記述はすべてそのまま引用できる明確さで書かれており、お客様の手続きで署名入りのサプライヤー声明が必要な場合は、当社レターヘッドで書面にて確認します。

第13条(6)は、統合したコンポーネントに脆弱性を見つけた場合に当社へ通知することも求めています。当社も逆方向で同じ義務を果たすことをお約束します。遅いよりも早いご連絡を歓迎します。報告は support@gigasoft.com へお願いします。

最も重要な点: 監査すべきものがほとんどありません

現代のソフトウェア サプライチェーン レビューの労力の大半は依存関係に費やされます。数十のパッケージを引き込むチャートライブラリは、数十のコンポーネントをお客様の責任範囲に加えます。そのすべてを部品表に記載し、新たな CVE を監視し続けなければならず、上流で脆弱性が出れば計画外のリリースを強いられることもあります。

ProEssentials はそうではありません。サポート対象のすべてのバージョンにおいて、ProEssentials のコードはすべて独自開発であり、Gigasoft が作成しています。オープンソース ライブラリも、サードパーティの NuGet や npm パッケージも、外部から取り込んだコードもありません。Log4Shell に代表される依存関係起因のインシデントは、当社経由でお客様に及ぶことはありません。これは信用してくださいという主張ではなく、出荷バイナリを検査して確認した事実です。

さらに3つの特性が、お客様のリスクをほぼゼロにまで下げます。

• ネットワーク I/O なし。 コンポーネントはネットワーク接続を開始も終了もしません。テレメトリも、ライセンス確認通信も、更新確認の ping も、いかなる送信トラフィックもありません。
• Gigasoft によるデータ処理なし。 お客様のデータは、お客様自身のプロセス内、お客様自身のマシン上で描画されます。Gigasoft は実行時にそのいずれも送信・受信・保存しません。
• アカウントなし、アクティベーションなし、実行時サービスなし。 配置はファイルのコピーだけです。評価すべきクラウド依存も、データ経路上のサードパーティ サービスもありません。

監査担当者からよく尋ねられるため、境界を明記します。お客様のアプリケーションがネットワーク経由で扱うデータの転送時暗号化は、そのアプリケーションの責任です。ProEssentials はネットワークに一切関与しないため、転送中のデータを保護することも危険にさらすこともありません。

部品表

サポート対象バージョンにはサードパーティ製コンポーネントがないため、当社の部品表は全文を掲載できるほど短いものです。ProEssentials の配置は、Gigasoft が開発したレンダリング エンジンと、選択したフレームワーク向けの Gigasoft 製コントロール アセンブリだけで構成されます。それ以外にアプリケーションが読み込むものは、お客様自身のコードか、すでに出荷している OS、.NET、Windows App SDK ランタイムの標準構成要素です。

バージョン 8 以前のレガシー サードパーティ ライブラリ

初期の ProEssentials は、画像ファイルの書き出しのみを目的として、3つのオープンソース ライブラリを静的リンクしていました。圧縮用の zlib、PNG 出力用の libpng、JPEG 出力用の libjpeg です。当時 Windows がまだ独自の画像エンコーダーを備えていなかったため、これは一般的な手法でした。

ProEssentials のいかなるバージョンについても、セキュリティ侵害が当社に報告されたことはありません。

繰り返しになりますが、これらのライブラリはファイルの読み込みやデコードに使われたことは一度もなく、まさにそこがこの種の脆弱性の所在です。何かを解凍したこともなく、ProEssentials の API が呼び出し元にデコード経路を公開したこともありません。初期の ProEssentials におけるこれらのライブラリの使い方に、現実的な脆弱性はありません。

当社の推奨はバージョン 11 への移行です。バージョン 8 以前はサポート終了であり、更新されません。API はメジャーバージョンをまたいで意図的に安定させてあるため、移植は容易です。

CRA のスケジュールと、その意味

サイバーレジリエンス法 (規則 (EU) 2024/2847) は段階的に適用されます。包括的な保証よりも、具体的な期日をお伝えします。

Gigasoft はこれらの期日に向けて計画どおり進んでいます。当社のようなコンポーネントに規則が求める実質的な内容はすでに整っており、このページに記載しています。管理外の依存関係がないこと、定義されたサポート期間、無償のセキュリティ更新、公開された報告窓口、署名済みディストリビューションです。2027年12月までに残る作業は正式な文書化と適合性の書類であり、製品の作り方を変えるものではありません。

枠組みの進展に合わせて、策定中の整合規格を含め、このページは最新の状態に保ちます。

CRA における ProEssentials の分類

規則は、単独で市場に投入されるソフトウェア コンポーネントを、それ自体がデジタル要素を有する製品として扱います。したがって ProEssentials は、お客様の製品の一部というだけでなく、それ自身が適用対象です。

ProEssentials は標準カテゴリの製品です。附属書 III クラス I の19カテゴリのいずれにも、附属書 III クラス II の4カテゴリのいずれにも該当せず、附属書 IV の重要製品でもありません。開発者向けのチャートおよびデータ可視化ライブラリは、これらのクラスに分類される中核機能をいずれも持ちません。当社は欧州委員会実施規則 (EU) 2025/2392 の技術的定義に照らして分類を確認しています。

お客様にとっての実務的な帰結は次のとおりです。ProEssentials は第32条(1)および附属書 VIII モジュール A に基づく内部管理による適合性評価の経路をとります。通知機関は関与せず、この種のコンポーネントに第三者評価は求められません。お客様自身の製品がより上位のクラスに該当する場合、その分類はお客様の製品の機能によって決まるものであり、当社の製品によるものではありません。

サポート対象バージョンとサポート期間

サイバーレジリエンス法は、製造者がサポート期間を明示し、その終了時期を公開することを求めています。当社のサポート期間は、各メジャーバージョンの一般提供開始日から最低5年間です。また、すべてを一律に「サポート対象」と呼ぶよりも、各バージョンが実際に何を受け取るのかをお伝えしたいと考えています。そのため下表では、活発な開発、メンテナンス、重大なセキュリティのみ、を区別しています。

ProEssentials v11 は2026年7月21日、v10 は2025年1月23日に一般提供を開始したため、公開サポート期間はそれぞれ最低で2031年7月21日、2030年1月23日までとなります。バージョン 9 の初回出荷は2018年4月であり、この5年間の枠を過ぎています。したがって期日の確約は行わず、重大なセキュリティ問題が生じた場合にのみ対応します。バージョン 9 をお使いのお客様は、バージョン 11 への移行をご計画ください。

脆弱性の報告方法と、その後の流れ

ProEssentials にセキュリティ脆弱性を発見されたと思われる場合は、support@gigasoft.com までお送りください。製品バージョン、フレームワークとプラットフォーム、そして再現に十分な情報を添えてください。概念実証があれば助かりますが、必須ではありません。

当社がお約束すること:

• 報告は2営業日以内に受領確認します。
• 内容を評価し、再現可否と深刻度の初期見解を10営業日以内にお伝えします。
• 確認された脆弱性は深刻度に応じて優先順位をつけ、遅滞なく修正します。見通しをお伝えし、お客様を待たせたままにはしません。
• セキュリティ修正はサポート対象のすべてのバージョンで無償です。そのほうがお客様のためになる場合は、機能リリースとは分けて提供します。
• 影響を受けるお客様には直接ご連絡し、通常の更新経路で修正を公開します。
• ご希望があれば報告者としてクレジットを記載します。誠実なセキュリティ研究に対して法的措置をとることはありません。公表の前に修正を行う合理的な機会をいただくことだけをお願いします。

当社は小規模で直接対応する会社です。このアドレスへの報告は、チケットの待ち行列ではなく、コードを書いた本人に届きます。

修正と更新の届け方

セキュリティ修正とメンテナンス修正は通常のリリースと同じ経路で配布されるため、新たに覚えていただく手順はありません。

• メンテナンス パッチは当社のダウンロード ページで直接配布します。
• NuGet パッケージは .NET の WinUI、WPF、WinForms 各版について更新します。
• セットアップから配置されるお客様向けに、完全版インストーラーを更新します。

ProEssentials はアクティベーションも実行時サービスもないファイル コピーで配置されるため、更新はすでに出荷しているバイナリを置き換えるだけです。再アクティベーションも、調整すべきライセンス サーバーもありません。

ディストリビューションの完全性とコード署名

当社が公開するすべての経路は署名されており、受け取ったものが当社のビルドしたものであることを検証できます。

• インストーラーは Gigasoft, Inc. として Authenticode コード署名されています。 署名には SHA-256 と RFC 3161 の信頼されたタイムスタンプを使用し、アンインストーラーも署名済みです。
• NuGet パッケージには Gigasoft, Inc. の作成者署名が付いています。 標準のツールでご自身で検証できます。パッケージに対して dotnet nuget verify を実行し、作成者署名が Gigasoft, Inc. であることをご確認ください。

お客様に発見されるより先に、当社から申し上げておく制限が一つあります。ディストリビューション内の個々のバイナリは、個別には Authenticode 署名されていません。これは意図的かつ技術的な理由によるものです。お客様の製品のインストール時に、顧客ごとのライセンス スタンプがエンジン内部のバイトを書き換えるため、事前にそのファイルへ付与した署名は無効になってしまいます。したがって完全性は、ディストリビューション全体を署名が覆うパッケージ単位で担保しており、ファイル単位では担保していません。コンプライアンス上どうしてもファイル単位の署名が必要な場合はご連絡ください。お客様の事案について何ができるかご相談します。

セキュアな開発と社内の実務

Gigasoft は小規模で専門特化した会社です。大企業のセキュリティ プログラムの言葉を借りるより、自社の実務を正確に説明したいと考えています。

• セキュリティは経営者の責任です。 会社の代表者がセキュリティに関する判断に直接責任を負います。存在しない部署に委任することはありません。
• 製品コードはすべて自社製です。 一行残らず社内で記述しレビューしています。だからこそ監視すべき依存関係の連鎖がありません。
• 入力は検証し、データベース アクセスはパラメーター化しています。 これは登録やダウンロードなど、製品を支える社内システムに適用されます。
• 社内システムは多層で堅牢化しています。 ウェブサイトとウェブサーバー、電子メール認証、エンドポイント保護が含まれます。電子メールは SPF、DKIM、および強制モードの DMARC ポリシーで保護されており、当社の DNS レコードから独立して検証できます。具体的な設定内容は公開しません。公開しても、お客様よりも攻撃者の役に立つからです。
• サーバー ログは不正利用の兆候について点検しています。 ウェブ層でも不正利用対策が動作しています。
• 端末は最新の Windows と Microsoft Defender で運用しています。

当社が「そうではない」ことも同じくらい明確にお伝えします。企業向けネットワーク インフラを運用していないため、暗号化通信に対するディープ パケット インスペクションや侵入検知といった対策は当社の運用形態には該当せず、あると主張すれば見せかけにすぎません。製品に関する顧客データは保存していません。製品が当社に何も送信しないからです。お客様の製品環境の内部で完結して動作する小規模なコンポーネント ベンダーに当てはまらない項目が質問票にあれば、雛形に合わせて答えるのではなく、当てはまらない旨と理由をお伝えします。

監査ファイル向けに当社が提供するもの

support@gigasoft.com へのご依頼により、無償で提供します。

• お使いのバージョンに対応した SPDX または CycloneDX 形式の機械可読 SBOM。
• このページの約束事項を確認する、当社レターヘッドの署名入りサプライヤー セキュリティ声明。
• お客様独自のベンダー セキュリティ質問票への書面回答。
• お使いのバージョンについて、サポート期間の終了日と現在のサポート水準の確認。
• 上記のとおりの、協調的脆弱性開示に関する当社のお約束。

当社は規制産業のお客様のセキュリティ評価を経験しており、この手続きに何が必要かを理解しています。審査担当者が求めるものをお知らせいただければ、こちらでご用意します。

よくあるご質問

お問い合わせ

セキュリティに関するご質問、質問票、資料のご請求、脆弱性のご報告は、すべて support@gigasoft.com にお送りください。製品を作っている本人に届きます。

このページの最終確認日は2026年7月30日です。CRA の枠組みの進展に合わせて維持してまいります。

このページは Gigasoft の製品セキュリティに関する実務と、サイバーレジリエンス法が ProEssentials にどう適用されるかについての当社の理解を説明するものです。お客様自身のコンプライアンス業務を支援する目的で提供しており、法的助言ではありません。お客様が市場に投入する製品についての義務は、その製品、市場、そしてお客様自身の評価によって決まります。