“影響なし”OEM回答文テンプレ（日本語）
（証跡・SLAまで抜けない書き方）
OEM調査依頼（CVE影響有無）に対して「影響なし」と返すとき、結論だけを書いてしまうと追加質問が止まりません。
通る回答に必要なのは、対象版数 ／ 理由（根拠） ／ 前提条件 ／ 証跡 ／ SLA（次回更新日） の5点です。
以下に、そのまま貼って使える日本語テンプレと、運用のコツ・よくあるNG例をまとめます。
コピペ用：“影響なし”OEM回答文テンプレ（日本語）
使い方： メール/回答書に貼り、【 】だけ埋めてください。
※「影響なし」を断定しすぎないために、前提条件と証跡を必ず入れます。
送付前チェックリスト（最低限）
- 対象製品名と対象版数が書けている（暫定/確定も明記）
- 理由区分（A〜D）が1つに寄っている
- 前提条件が1行以上ある（設定/構成/到達性）
- 証跡（参照先ID） がある（“探せる”状態）
- 調査中要素があるなら 次回更新日（SLA） がある
受付から根拠付き回答までの項目をまとめた初動対応キットで、自社向けに調整する前の型を確認できます。
OEM脆弱性照会 初動対応キットを見る書き方・運用のコツ（兼務でも破綻しない）
- 「影響なし」＝条件付きにする（前提を書かない断定は後で危険になります）。
- 証跡は“添付”より“参照ID”が強い（監査で確実に再現できるようになります）。
- SLA（期限）が短いときは、一次回答＝受領＋暫定結論＋次回更新日 で守ります。
- 理由区分（A〜D）を固定し、社内で言い回しを統一するとレビューが速くなります。
- 将来の構成変更（OTA/通信の追加など）を再評価トリガーに入れます。
よくあるNG例（差し戻しパターン）
→ どこまで閉域か／診断・OTAの例外／前提条件／証跡が無く、確実に追加質問が来ます。
根拠：IF一覧Doc-、設定Config-、SBOM-__。前提変更時は再評価。」
Auto PSIRT Cloudに落とすポイント（運用化の設計）
テンプレを“属人化”させないコツは、文面より先にフィールド化（入力欄の固定）です。最低限、次を項目として固定すると回ります。
- 案件ID ／ 相手期限 ／ 一次回答期限 ／ 次回更新日（SLA）
- 対象製品・対象版数（暫定/確定）
- 結論（
not_affected） ／ 理由区分（A〜D） ／ 前提条件 - 証跡リンク（SBOM行、仕様、設定、試験メモ）
→ これが揃うと、回答文はシステムからテンプレに自動差し込みするだけになります。
FAQ：影響なしの回答について
前提条件が不変で、証跡が揃っている場合は可能です。ただし実務では、前提条件＋再評価トリガーを添えて“条件付き影響なし”にする方が安全です。
最低限「SBOM/構成表の参照ID」「仕様/設定の参照ID」の2点です。ファイル添付より、後から辿れる参照先が監査に強いです。
「受領＋暫定結論（調査中でも可）＋次回更新日」を先に返してください。沈黙が最もリスクです。
「影響なし」の根拠を、まずテンプレートで揃える
初動対応キットには、影響判定、回答ドラフト、証跡索引、承認欄を含む実務テンプレートがあります。「影響なし」の最終判断とOEMへの回答承認は、人が技術根拠と前提条件を確認して行ってください。
Auto PSIRT Cloudは現在、一般販売前のデモ版です。自社の1案件でどこを支援できるか、設計パートナー向け説明で確認できます。
フォームには、顧客名・製品名・CVE番号・SBOMなどの機密情報や実データを記載しないでください。