脆弱性開示ポリシー

1. 目的
   本ポリシーは、株式会社国際電気（以下「当社」）が提供する製品およびサービスに関して発見されたセキュリティ上の脆弱性について、当社が受領、評価および対応を行う際の基本的な方針を定めるものです。
   本ポリシーに基づき、脆弱性情報の適切な取り扱いと円滑な対応を図り、利用者および関係者への影響を最小限に抑えることを目的とします。
2. 適用範囲
   本ポリシーは、当社が開発、提供、運用するプロダクトおよびソリューションを対象とします。
   ただし、当社の管理外にある第三者製品・サービスに起因する事象については、本ポリシーの対象外となる場合があります。
3. 脆弱性情報の取り扱いに関する基本方針
   当社は、外部から提供される脆弱性情報を重要な情報資産として取り扱い、適切な管理体制のもとで対応します。
   脆弱性情報については、その内容および影響を踏まえ、関係部署と連携のうえ、影響の最小化に努めます。
   また、当社は、脆弱性に関する情報について、関係者と適切に連携しながら対応を進める協調的脆弱性開示（Coordinated Vulnerability Disclosure）の考え方に基づき、適切な情報管理 および開示に努めます。
4. 脆弱性情報の報告窓口
   当社では、当社製品をより安心してご利用いただくために、社内外から製品に関する脆弱性情報の収集を行っております。 万が一、当社製品において脆弱性と思われる点にお気づきの場合は、文末に記載の<脆弱性報告窓口>までご連絡いただけますと幸いです。なお、公開済みの脆弱性については報告を受け付けておりません。円滑な調査および対応のため、以下について可能な範囲で具体的な情報をご提供ください。
   ・対象製品(型式、ソフトウェアバージョン、製造番号など)
   ・脆弱性の内容や発生事象
   ・発生条件
   ・再現の手順
5. 脆弱性への対応
   当社が把握した脆弱性につきまして、要否を判断の上で修正対応、回避策の提示、注意喚起等の措置を講じ、製品およびサービスのセキュリティ確保に努めます。 また、対応状況については社内で適切に管理し、再発防止および品質向上に継続的に取り組みます。
6. 継続的なコミュニケーション
   当社は、脆弱性報告を受領した後、報告者との継続的なコミュニケーションに努めます。
   報告受領の確認後、調査状況、影響評価、対策の進捗、および情報公開の予定について、必要に応じて報告者へ連絡します。
   調査や対策に時間を要する場合には、進捗状況を定期的に共有し、報告者が対応状況を把握できるよう努めます。
7. 情報公開に関する方針
   脆弱性に関する情報は、影響範囲や安全性への配慮を踏まえ、当社の判断により当社Webサイト等を通じて公表する場合があります。
   公表内容には、製品の識別情報、脆弱性の説明、影響範囲、重要度、回避策または対処方法などが含まれます。
   なお、情報の公開が脆弱性の悪用を助長するおそれがあると当社が判断した場合には、利用者が修正対応を行う機会を確保するため、情報の公開を延期することがあります。
   また、公表に際しては、情報提供者の氏名や所属などの個人情報を、事前の同意なく公開することはありません。ただし、法令に基づき開示が求められる場合を除きます。
   ご提供いただいた個人情報は、個人情報保護方針に従い保護されています。
   個人情報は脆弱性対応の目的にのみ使用します。
8. 免責事項
   当社は、脆弱性情報の調査や報告に要した時間、費用、その他の損害について補償をお約束するものではありません。また、脆弱性報告に対する金銭的な報奨制度は設けておりません。
   当社製品やサービスに対する検証行為において、法令や第三者の権利を侵害する行為が確認された場合には、適切な対応を行う場合がありますので、あらかじめご了承ください。
9. 法令およびガイドラインの遵守
   当社は、本ポリシーの運用にあたり、関連する法令、業界ガイドラインおよびセキュリティに関する各種基準を踏まえ、適切に対応します。
10. ポリシーの改定
    本ポリシーは、社会情勢や技術動向の変化、法令改正等を踏まえ、必要に応じて内容を見直すことがあります。
    改定後の内容は、当社Webサイトに掲載した時点で効力を有するものとします。

＜脆弱性報告窓口＞