目的と範囲
当社（島津製作所）は、製品セキュリティ上の脆弱性に関する責任ある開示が、製品の安全性向上に資すると考えています。本協調的脆弱性開示（CVD）ポリシーは、セキュリティ研究者およびお客様から脆弱性情報の報告を受け付け、当社が必要な対応をとるための基本的な考え方と手順を示すものです。
本ポリシーは、当社ブランド製品およびサービス（以下「当社製品」）に適用され、当社が直接保守していないサードパーティサービスやオープンソースコンポーネント等の脆弱性には適用されません。
「製品セキュリティ上の脆弱性」とは、当社製品のソフトウェアにおける、プログラムの不具合や設計上の不備などに起因する情報セキュリティ上の欠陥を指します。物理的な破損、製造上の欠陥、経年劣化、外部環境の影響による故障や不具合は含みません。
脆弱性・インシデント情報の報告先
当社製品に関する潜在的な製品セキュリティ上の脆弱性の情報または、実際に脆弱性が悪用された情報は、以下のポータルにて当社までご連絡ください。また、ポータルにてご連絡いただいた後のやり取りは、原則として電子メールにて行います。
- ポータル:[脆弱性・インシデント情報の報告窓口]
- ※脆弱性とは、サイバー脅威によって悪用される可能性のあるデジタル要素を備えた製品の弱点、脆弱な部分、または欠陥を指します。
- ※インシデントとは、保存、送信、処理されたデータ、またはネットワークおよび情報システムによって提供される、またはネットワークおよび情報システムを介してアクセス可能なサービスの可用性、真正性、完全性、または機密性を損なう事象を指します。
島津製作所の対応
当社は、ご報告いただいた脆弱性・インシデント情報について次の対応を行います。
- ご報告いただいた情報を確認し、以下３つの条件すべてに該当する場合は、新規の脆弱性として対応を進めます。
- 当社製品のセキュリティに影響する問題であること
- 問題の再現性があること
- 公知の情報ではないこと - 必要に応じて、追加情報の提供をお願いする場合があります。
- 新規の脆弱性であると判断した場合は、重要度に応じて対策の優先順位を定め、必要な対策および情報公開の準備を進めます。
- ご報告者様自身が公表を希望される場合は、公表内容および時期について当社と事前の調整をお願いします。
- お客様への影響が想定される場合には、個別のご案内やサポート等、適切な対応を行います。なお、その内容については、セキュリティ確保および不正利用防止の観点から、原則として公開しません。
- サポート終了している製品については、対策を実施しない場合があります。
- 報告受付後、原則として5営業日以内に受領連絡を行います。なお、年末年始休暇、夏季休暇、ゴールデンウィーク等の当社所定休業日の期間中は、連絡が遅れる場合があります。あらかじめご了承ください。
謝辞の掲載
当社製品の脆弱性の新規発見に貢献いただいた方には、謝辞の掲載に同意いただいたうえで、当社Webサイトにお名前またはハンドルネームとともに謝辞を掲載いたします。
同一の脆弱性について、複数の個人・団体からご報告いただいた場合は、最初のご報告者様を謝辞掲載の対象といたします。なお、当社はご報告いただいた内容にかかわらず、報償の提供をしていません。