脆弱性開示ポリシー
1. 本ポリシーの目的
当社は、当社製品のセキュリティ上の安全性の確保を重要な使命と考えています。本ポリシーは、脆弱性報告を奨励し、報告者との協力関係を構築することで、セキュリティ向上を実現することを目的としています。当社は、脆弱性報告を受理し、建設的な対話を通じて問題解決に努めます。また、脆弱性報告の受付から対応完了まで責任を持って対処するため、PSIRT（Product Security Incident Response Team）を設置しています。このチームは、関係部門と連携し、迅速かつ適切な対応を行います。さらに、本ポリシーは当社ウェブサイト上で容易にアクセス可能な場所に公開されており、透明性を確保しています。
2. 法的保護
当社は、善意に基づく脆弱性報告活動を尊重し、適切な範囲で法的保護に努めます。ただし、当社システム・製品等に対するあらゆる調査行為を包括的に許可するものではありません。報告者による調査活動は、本ポリシーに定める許容範囲（対象・方法・条件）に限り、当社が許可したものとして取り扱います。当社は、報告された脆弱性に起因するセキュリティ上の課題の解決に向けて、報告者と協力します。また、報告者が本ポリシーに従い、善意かつ誠実に実施した調査活動については、当社は原則として法的措置を講じません。なお、第三者が当該調査活動に対して法的措置を取った場合、当社は、当該活動が本ポリシーに定める許容範囲内で実施されたものである限り、本ポリシーに基づき許可された活動であることを表明します。
3. 報告者行動指針
当社製品に関する脆弱性を発見した場合や、個人情報、財務情報、営業秘密等の漏洩を発見した場合、報告者は速やかに当社にご報告ください。また、報告者は、公開前には当社が問題を解決するための合理的な期間をご提供ください。
4. 禁止されるテスト方法
当社は、以下に示すような、破壊的または妨害的なテストを禁止しています。
・不正アクセス行為：当社が明示的に許可していないシステムへの侵入や認証回避。
・サービス妨害（DoS/DDoS）：システム停止を狙った大量アクセスや過負荷攻撃。
・個人情報の不適切な取り扱い：テスト中に取得した個人を特定できる情報を第三者へ開示すること。
・その他違法行為：著作権侵害やプライバシー権侵害、権限外操作などを伴う行為。
5. 適用範囲
本ポリシーは、当社が提供する製品に適用されます。具体的には、当社製品に組み込まれたソフトウェアが対象です。ただし、第三者が提供する製品やサービス、または当社が明示的に対象外としたシステムは、本ポリシーの適用範囲外となります。対象範囲が不明な場合は、テストを開始する前に当社にお問い合わせください。
6. 報告方法
脆弱性の報告は、当社が提供するWebフォーム（https://watanabe.web-tools.biz/report-vulnerability）で受け付けています。報告時には、脆弱性の場所、影響、再現手順（可能であれば再現コード（PoC）を含む）などの情報を提供してください。当社は、報告者のプライバシーを保護するため、S/MIME鍵を提供しており、セキュアな通信手段を確保しています。また、報告は匿名で行うことが可能であり、報告者の氏名や連絡先を明示的な許可なく第三者と共有することはありません。当社は、報告受領後、可能な限り速やかに受領確認を行い、リスク評価と初期分析を実施します。調査・修正には内容に応じて時間を要する場合がありますが、進捗状況および今後の対応方針（修正計画・回避策の有無・公表方針を含む）を、合理的な範囲で報告者に共有します。
7. 報告された脆弱性情報の取り扱い
報告された脆弱性情報は、脆弱性の修正および軽減のためにのみ使用されます。当社は、公開前に脆弱性情報が外部に漏洩しないよう厳重に管理するとともに、報告者のプライバシーを保護します。なお、全ユーザーに影響する脆弱性については、必要に応じて関係機関（JPCERT/CC等の公的機関）と共有する可能性があります。
8. 関係者の役割
本ポリシーにおける関係者には、脆弱性を発見する個人または組織である「発見者（Finder）」、脆弱性を当社に通知する「報告者（Reporter）」、脆弱性を持つ製品を作成・維持する「ベンダ（Vendor）」、およびCVDプロセスを促進する外部機関である「調整機関（Coordinator）」が含まれます。当社はこれらの関係者と連携し、脆弱性対応プロセスを円滑に進めます。
9. 脆弱性対応プロセス
当社は、脆弱性報告を受け付けた後、受領確認、初期分析、修正計画の策定と関連外部機関との調整、修正プログラムの開発、報告者への通知というプロセスを経て対応します。修正が完了した後は、セキュアな方法でのアップデートをはじめとした対策をご案内します。これにより、脆弱性の影響を最小限に抑え、顧客や社会全体の安全性を確保します。
10. その他
本ポリシーの内容は、予告なく変更されることがあります。
当社は、本ポリシーに基づく対応の結果として生じた利用者等の損害について、法令で認められる範囲を超えて責任を負いません。
また、報奨金等の支払いは行っておりません。
