購入・サポート
セキュリティ情報
セキュリティポリシー
株式会社たけびしは、お客様と社会の信頼・要望に応えるため、情報資産の安全かつ適正な管理・運用を実施することが重要と考え、情報セキュリティマネジメントシステムの国際規格｢ISO27001｣(ISMS)を取得しております。
詳細は以下をご確認下さい。
情報セキュリティマネジメントシステム | 株式会社たけびし (takebishi.co.jp)
脆弱性開示ポリシー
概要
当社は自社で開発・製造する製品のセキュリティを重視しており、外部からの脆弱性報告を歓迎します。本ページは脆弱性報告の受付方法、対応方針、報告者への対応について説明します。
受付対象
- 当社が開発・製造するソフトウェア、ファームウェア、組込み機器に関する脆弱性
- セキュリティ設定の不備、不正アクセスの兆候
- 対象外：第三者が管理するサービス、サポート終了品
受付方法
脆弱性情報は脆弱性報告フォームよりご報告ください。
脆弱性報告フォームを開く
- 脆弱性に関する情報の受領を確認後、2営業日以内に受領した旨をご連絡いたします。
土曜日、日曜日、祝日、当社休業日および営業時間外にいただいたご報告については、翌営業日以降の受付とさせていただきますことをご了承ください。
- 脆弱性受付窓口（脆弱性報告フォーム）からご報告いただいた後のご報告者様とのコミュニケーションは電子メールで行います。
- 調査・対応の進捗については、状況に変化があった場合や、ご報告者様からのお問い合わせに応じて、対応が完了するまで電子メールにてお知らせします。
当社は、ISO/IEC 29147 および情報セキュリティ早期警戒パートナーシップガイドラインを参考に脆弱性ハンドリングを行います。
調査及び対策
報告いただいた脆弱性について、以下の確認項目をもとに「新規の脆弱性」であるかを判断いたします。
- 製品のセキュリティに影響のある問題であること
- 再現性があること
- 未公開であること
なお、確認にあたり必要に応じて、追加情報のご提供をお願いする場合がございます。
新規の脆弱性であることが確認された場合は、対策の実施と情報公開の準備を行います。
新規の脆弱性ではないことが確認された場合は、結果をご報告者様へ説明の上、対応を終了いたします。
脆弱性情報の公表
当社は、対策（セキュリティアップデート等）を提供した脆弱性について、その情報を当社ウェブサイトの「各製品の脆弱性情報」ページにて公表します。対象には、当社製品に同梱する第三者製ソフトウェア（OSS 等）に起因する脆弱性を含みます。
- 記載内容: 脆弱性の内容、CVE 番号等の識別子、対象製品・バージョン、深刻度（CVSS）、対策済みバージョンまたは回避策
- 公表時期: 原則として対策の提供後とし、協調的な脆弱性公開（CVD：Coordinated Vulnerability Disclosure）の原則に基づき、ご報告者様・調整機関（JPCERT/CC 等）をはじめとする関係者様と協議の上決定します
- 例外: 悪用が確認された脆弱性等については、対策の提供に先立ち、影響を受けるお客様への通知や暫定的な回避策の公表を行うことがあります
- 更新: 公表済みの内容に変更が生じた場合は、更新日を付して改訂します
- 当社製品への影響がないことを確認した脆弱性（同梱ソフトウェアの未使用機能に起因するもの等）は、公表の対象外とすることがあります
脆弱性情報は当社ウェブサイトの以下のページにて公表いたします。
各製品の脆弱性情報を開く
謝辞
ご報告者様の同意をいただいた場合、公表する脆弱性情報に謝辞としてお名前（またはハンドルネーム）を掲載いたします。同一の脆弱性について複数のご報告があった場合は、最初のご報告者様を対象とします。ご同意なくお名前を公表することはありません（法令に基づく場合を除く）。
報告者の保護（セーフハーバー）
当社は、本ポリシーに従って善意で行われた脆弱性の調査および報告について、報告者に対する法的措置（民事上の請求、刑事告訴・告発）を行いません。
本条項は、以下のすべてを満たす調査・報告に適用されます。
- 本ポリシーの受付対象の範囲内で、受付方法に従って報告していること
- 脆弱性の確認に必要な最小限の範囲を超えて、データの取得・改変・削除や、サービスの停止・性能低下を引き起こしていないこと
- 調査の過程で個人情報や機密情報にアクセスした場合は、直ちに調査を中止して当社に報告し、当該情報を保存・開示していないこと
- 当社が公開するまで、または当社と合意した時期まで、脆弱性情報を第三者に開示していないこと
- 報告の対価として金銭その他の利益を要求していないこと
なお、本条項は当社による法的措置に関する方針を示すものであり、第三者や捜査機関等の判断を拘束するものではありません。調査行為が本ポリシーに適合するか判断に迷う場合は、事前に受付窓口までご相談ください。
免責事項
本ポリシーは予告なく更新されることがあります。最新の内容は本ページをご確認ください。