> English

脆弱性開示ポリシーおよびアドバイザリ

当社は、お客様とそのデータをより適切に保護するため、当社製品またはサービスにおける潜在的なセキュリティ脆弱性に関する情報を、お客様、セキュリティ研究者、学術関係者、その他のセキュリティコミュニティのメンバーから広く受け付けております。

本ポリシーおよびアドバイザリは、当社が開発、保守、または運営するすべての製品、サービス、およびデジタル資産に適用されます。当社が開発または管理していないサードパーティ製品・サービスは、本ポリシーおよびアドバイザリの対象外です。

脆弱性のご報告

脆弱性を発見された場合は、以下の情報を 宛にご連絡ください。

ご報告いただいた脆弱性情報については、すべて当社内のセキュリティ対策チームにて調査し、自社製品上で再現性を確認します。報告受信から原則5営業日以内に受領確認のご連絡を、原則10営業日以内に初期調査結果を返信いたします。

1. 製品識別情報
（製品モデル名、シリアル番号、ソフトウェアバージョン等）

2. 脆弱性のメカニズム
（欠陥の技術的分類。例：バッファオーバーフロー、不適切な入力検証）

3. 概念実証（PoC）
（問題を安全に再現するための、明確かつ詳細な手順、ログファイル、または動作するスクリプト）

4. 悪用の有無
（当該脆弱性が実際に悪用されていることを観測した、または信頼できる証拠を保有している場合は、その旨を明記）

5. ご連絡先情報任意
（調査経過のご連絡や追加情報の照会に使用します）

6. ご報告者のお名前任意
（アドバイザリ公開時に謝辞の掲載を希望される場合は、掲載可否と表記をあわせてお知らせください）

注意事項：

• 本窓口にご連絡いただくことにより、当社のプライバシーポリシーに同意いただいたものとみなします。

• 本窓口では当社製品に関する脆弱性のご連絡のみ受け付けております。それ以外のお問い合わせにつきましては、ご回答いたしかねますのでご了承ください。

• ご報告に実証コードなど特に取り扱いに注意を要する情報が含まれる場合は、まず当該情報を除いた形でご連絡ください。折り返し、安全な送付方法を個別にご案内いたします。

• 必要に応じてご使用状況等の追加情報の提供をお願いする場合がありますので、ご協力をお願いいたします。

• ご報告いただいた内容に不足があった場合など、内容によりましては当社が評価できない場合がありますのでご了承ください。

• 当窓口では、なりすましメール等への対策として、受信したメールの安全性を確認したうえで対応しております。このため、ご返信までお時間を頂戴する場合がございます。また、不審メールと判断したものについては、返信を差し控えさせていただきます。何卒ご理解のほどお願い申し上げます。

• 現在、脆弱性報告者に対する報奨金制度は設けておりません。

関連情報の公開

当社は、セキュリティに関する情報共有を目的とし、以下の関連記事を公開する場合があります。

• 新たに導入されたセキュリティ強化機能

• 製品固有のセキュリティ設定ガイドとベストプラクティス

• 脆弱性スキャンツールで検出されたサードパーティ製コンポーネントのセキュリティ脆弱性（ただし、該当製品内から悪用可能ではないもの）

• 特定のセキュリティ更新プログラムを適用するためのインストール手順

• オプトエレクトロニクス製品に影響を与える可能性のある、非オプトエレクトロニクス製品の共存要件および前提条件におけるセキュリティ更新プログラムの影響に関する情報

公開について

当社が自社製品における脆弱性を特定した場合、必要であればCVE IDを割り当て、下記の脆弱性情報欄に掲載します。

ユーザー保護のため、信頼性の高い修正プログラムが検証されリリース準備が整うまで、技術的詳細は非公開とします。

修正プログラムのリリース後、脆弱性の性質、影響範囲、影響を受けるバージョンを詳細に説明するセキュリティアドバイザリを公開します。

セキュリティ更新プログラムを適時に適用するため、お客様には本ページを定期的にご確認いただくことをお勧めします。

公開ファイルの真正性確認（PGP署名）

当社が公開したファイルが真正であり、改ざんされていないことを確認するには、下記の公開PGP鍵を使用して、ファイルに添付された分離署名（.sigファイル）を検証してください。分離署名は、各セキュリティアドバイザリおよびファームウェアのダウンロード欄に併載します。

なお、この鍵は署名専用です。メッセージの暗号化にはご使用いただけません。

脆弱性情報

公開日	詳細
-	-

※ 現在、公開中のセキュリティアドバイザリはありません。

よくある問い合わせ