協調的脆弱性開示ポリシー

脆弱性報告の受付

脆弱性報告は、公式な窓口（Webフォーム）を通じて受け付ける。報告者が安心して連絡できるよう、受付窓口および関連情報は当社Webサイト等を通じて公開する。

受領通知と初期対応

脆弱性情報を受領した際は、3営業日以内に情報提供者へ受領通知を行う。内容確認や評価のため、必要に応じて追加情報の提供を依頼する。

秘密保持と情報管理

脆弱性情報は、修正措置や公表が完了するまでは公開しないものとし、報告者や影響を受ける組織、関係者以外には共有しない。情報の取り扱いは秘密保持契約（NDA）や法的要件に準じて行う。

関係者との連携・調整

当社が製造、販売する製品に影響があり、かつその影響が他の製品やサービスにも及ぶ場合は、当社から当局へ適切に連携を行い、全体での是正措置や公開タイミングを調整する。

修正措置の実施

速やかに脆弱性の是正措置（パッチ・ワークアラウンド等）の開発・検証を進め、報告者ならびに関係各所と必要に応じて進捗を共有する。

公開タイミングの合意形成

報告者・関係ベンダー等と協議し、是正措置や情報公開のタイミングについて合理的な合意を目指す。原則として、関係者間で合意した後に適切な方法で脆弱性情報を一般公開する。ただし、実被害の発生や合意困難な特殊状況ではFIRST等の推奨ガイドラインにある例外的早期公開を選択する場合がある。

公表時の配慮

脆弱性情報の公開時には、リスク低減の観点から必要な技術的詳細や影響範囲、対策方法等を明確に示す。報告者の希望がある場合は貢献のクレジットを明記する。公表内容は、利用者・社会全体の安全に配慮した表現とする。

公平性と非報復の原則

報告者が善意かつ合法的な手段により、意図的または偶然に脆弱性を発見した場合、報告者に対する不当な責任追及や報復的対応は一切行わない。

記録と透明性

協調的開示プロセスの全過程を適切に記録し、将来的な改善と信頼性向上に資する。