1. 基本方針

当社は、提供する全製品のセキュリティ確保を事業運営の最重要課題の一つと位置づけ、お客様が安心して製品をご利用いただけるよう、安全性の継続的な向上に取り組んでいます。

製品の潜在的なセキュリティ脆弱性に対して迅速かつ適切に対応するため、当社には「製品セキュリティインシデント対応チーム（Product Security Incident Response Team、以下 PSIRT）」を設置しています。PSIRT は国際的なセキュリティ基準と業界ベストプラクティスに準拠し、脆弱性の調査・評価・対策立案・情報公開までの一連のプロセスを統括的に管理します。

本ポリシーは、脆弱性報告の受付方法・対応プロセス・公開方針を明文化することで、外部からの善意の報告を適切に受け入れ、製品の安全性向上につなげることを目的としています。

2. 適用範囲

本ポリシーは、当社が販売・提供するすべての製品（ハードウェア・ファームウェア）を対象とし、これらの製品に関して寄せられたセキュリティ脆弱性の報告全般に適用されます。

3. 脆弱性の報告方法

当社製品においてセキュリティ上の懸念点や脆弱性を発見された場合は、以下の専用窓口までご報告ください。

併せてご提供いただきたい情報

• 対象製品名
• 型番
• ファームウェア・ソフトウェアのバージョン情報
• 脆弱性の具体的な内容
• 再現手順
• 想定される影響範囲
• 既知の場合：CVE ID、CWE ID、CVSS スコア・ベクトル

ご報告いただいた内容が情報不足・事実確認が困難な場合、または重複・誤報と判断された場合は、それ以上の個別対応を省略させていただく場合があります。

4. 脆弱性対応プロセス

PSIRT はご報告いただいた内容について、以下のプロセスに沿って対応を実施します。

1. 1受領確認報告を受領後、原則として 3 営業日以内 に受領確認のご連絡を差し上げます。
2. 2トリアージと初期分析妥当性を確認し、脆弱性の有無・影響範囲・深刻度の初期評価を実施。7 営業日以内にご連絡。
3. 3詳細調査製品開発部門と連携し、脆弱性の根本原因を特定し、製品への影響度を詳細に検証します。
4. 4対策・緩和策の検討開発部門と共同で修正パッチ・ファームウェア更新版を開発。暫定的な緩和策も整理します。
5. 5情報公開と周知対策完了時点で、セキュリティアドバイザリーページにて対象製品・対策内容・リスク情報を公開。
6. 6進捗のご報告対応期間が長期にわたる場合は、原則として 30 日に 1 回 の頻度で進捗状況をご連絡。

5. 脆弱性の深刻度評価基準

PSIRT は脆弱性のリスクを評価するにあたり、国際標準である CVSS v3.1 を用いて深刻度を判定し、対応の優先順位を決定します。

6. 善意の報告者への方針

当社は、善意でセキュリティ問題を発見し、本ポリシーに従って適切に報告いただいた方に対し、以下の通り対応いたします。

• 報告行為が善意かつ本ポリシーの範囲内で行われたものである場合、当社は報告者様に対して法的措置を提起いたしません。
• ご希望があれば、セキュリティアドバイザリー公開時に、報告者様のお名前または所属をクレジットとして記載させていただきます。

7. 禁止事項と免責事項

1. 脆弱性の調査にあたっては、第三者のシステム・個人情報への不正アクセス、サービスの中断、データの改ざん・窃取等、他者の権利を侵害する行為は絶対に行わないでください。
2. 当社による正式な情報公開前に、脆弱性の詳細内容を第三者に開示・公表することはご遠慮ください。
3. 本ポリシーの内容は、予告なく変更される場合があります。
4. 本ポリシーに基づく対応には限界があり、すべての報告事項に対して修正・個別回答を保証するものではありません。本ポリシーの情報を利用した結果について、当社は責任を負いかねます。