脆弱性開示方針

01 目的

当社は、当社が提供する製品および関連サービスのセキュリティ品質を維持・向上させるため、 製品に関する脆弱性情報を適切に受け付け、評価し、対応する体制を構築しています。
本方針は、脆弱性に関する情報提供者との協力のもと、被害の未然防止および影響最小化を目的とします。

02 対象範囲（スコープ）

本方針は、以下を対象とします。

• 当社が提供する IoT 製品（ハードウェア、ファームウェア、ソフトウェア）
• 当該製品に必須付随するクラウドサービス・管理機能
• サポート期間内の製品およびサービス

03 脆弱性情報の受付方法

脆弱性に関する情報は、以下ページの窓口にて受け付けます。

お問合せページ

報告者の所属・立場（利用者、研究者、第三者等）は問いません。

04 受領後の対応プロセス

当社は、脆弱性情報を受領後、以下のプロセスに従って対応します。

1. 受領確認
2. 技術的妥当性および再現性の確認
3. 影響度・深刻度の評価
4. 対応方針の決定
   • 修正
   • 回避策の提示
   • 影響なしの判断
5. 必要に応じた修正・アップデートの実施

影響度の評価にあたっては、悪用可能性や利用環境を考慮します。

05 修正およびアップデート

脆弱性への対応が必要と判断された場合、当社は以下の方法により対処します。

• ファームウェアまたはソフトウェアのアップデート
• 設定変更や運用上の回避策の提示

アップデートは、製品仕様に基づき、利用者が適切に適用できる形で提供します。

06 情報公開（責任ある開示）

当社は、脆弱性の修正または回避策が提供されるまでの間、 当該脆弱性に関する情報の第三者公開を控えていただくよう、報告者に協力を要請します。
修正完了後、必要に応じて以下の方法で情報を公開する場合があります。

• 製品サポートページ
• リリースノート
• 関係機関（例：IPA、JPCERT/CC）との連携による注意喚起

アップデートは、製品仕様に基づき、利用者が適切に適用できる形で提供します。

07 報告者への配慮（セーフハーバー）

当社は、本方針に沿って善意で行われた脆弱性報告について、報告者に対して法的措置を取ることはありません。 ただし、以下の場合は対象外とします。

アップデートは、製品仕様に基づき、利用者が適切に適用できる形で提供します。

08 継続的改善

当社は、脆弱性対応の運用状況を定期的に見直し、必要に応じて本方針および関連プロセスの改善を行います。