脆弱性開示ポリシー
目的
デジタルグリッド株式会社（以下「当社」といいます。）は、当社が提供する製品に関する脆弱性の報告先、ならびに当社における脆弱性対応の概要等について、本ポリシーに定めます。
対象範囲
本ポリシーは、当社が蓄電池アグリゲーションサービスにおいて提供する以下の製品に関する脆弱性対応方針です。
- digitalgrid-gateway-device
- 同製品および他社製機器で構成される蓄電池システム
上記の蓄電池システムを構成する他社製機器に起因する脆弱性についても、当社が報告窓口となり、一元的に受け付けます。当社から当該機器の製造元へ情報を連携し、製造元による対応状況をご報告者様および利用者様へお伝えします。
製品に関する脆弱性の連絡について
製品の脆弱性を発見された場合は、以下の窓口までお知らせください。
ご報告にあたっては、使用したツールの種類にかかわらず、ご報告者様ご自身で内容をご検証のうえ、以下の情報をご提供ください。
- 対象製品名およびバージョン
- 脆弱性の種類（バッファオーバーフロー、RCE等）
- 詳細な再現手順
- 対象製品における具体的な影響
- 当社からご連絡可能な連絡先（メールアドレスなど）
十分な検証が行われていない場合や、調査に必要な情報が不足している場合は、調査を行わないことがございます。具体的には、以下のようなご報告が該当します。
- 自動スキャナー等のツールによる検出結果を、ご自身で検証せずに提出したもの
- 既知の脆弱性に関する指摘を含め、対象製品における再現手順や具体的な影響の説明が不足しているもの
いずれの場合も、調査を行わないと判断した際には、その旨をご報告者様へご連絡いたします。
なお、本窓口での受け付けは脆弱性報奨金制度に基づくものではなく、ご報告に対する金銭その他の報奨をお約束するものではありません。
ご報告者様の個人情報は、当社の
プライバシーポリシー
に従って取り扱います。また、ご報告いただいた脆弱性に関する情報は、本ポリシー「4.
情報公開」に従って取り扱います。
当社における脆弱性対応
製品に関する脆弱性のご報告を受けた場合、原則として以下の対応を行います。
-
受領の確認
脆弱性に関する情報を受信した場合、原則として5営業日以内に受領確認のご連絡を差し上げます。なお、年末年始・ゴールデンウィーク・夏季休暇等の期間中は、ご連絡までにお時間をいただく場合がございます。ご了承ください。
-
調査
ご報告の内容を確認し、製品への影響の有無および影響範囲を調査します。当社が開発する製品に起因する脆弱性については、当社においてソフトウェアアップデート・回避手順などの対策を検討・準備いたします。他社製機器に起因する脆弱性については、当該機器の製造元へ情報を連携し、製造元による調査および対策の検討を依頼いたします。
-
修正
必要に応じて修正対応を行います。当社が開発する製品については、当社において修正版ソフトウェアまたは回避手順を提供いたします。他社製機器については、当該機器の製造元に、修正版ソフトウェアまたは回避手順の提供などの対応を依頼いたします。当社は、その情報を利用者様へお伝えするとともに、製造元との連絡調整を行います。
-
情報公開
ご報告いただいた脆弱性に関する情報は、対策の提供まで当社において非公開情報として管理します。対策の提供後、必要に応じて当社ウェブサイトにおいて公表します。
-
ご報告者様へのご連絡
上記 2
以降の各段階において、調査および対策の進捗に変化があった場合は、その都度ご報告者様へご連絡いたします。修正対応が完了した際には、その旨を改めてご連絡いたします。なお、他社製機器に関する事項については、当該機器の製造元からの回答を受けてご連絡いたします。
法的措置に関する方針
当社は、本ポリシーに従い、誠実に脆弱性をご報告いただいた方に対し、その報告に伴う調査行為を理由として法的措置を講じません。
ただし、以下のいずれかに該当する行為については、上記の取り扱いの対象外とします。
- 第三者の情報への不正なアクセス、または当該情報の不正な取得、改変もしくは破壊
- 当社の製品またはサービスの停止、性能低下その他の妨害を生じさせる行為
- 当社または第三者の設備への物理的な侵入、および関係者に対するソーシャルエンジニアリング
- 当社との協議を経ずに、報告内容を第三者に開示し、または公表する行為
- その他、法令または公序良俗に反する行為
なお、本方針は当社による法的措置の取扱いを定めるものであり、他社製機器の製造元その他の第三者が法的措置を講じないことを保証するものではありません。
免責事項
-
当社は、本ポリシーに記載する情報の正確性、完全性、有用性又は最新性を保証するものではなく、これらの情報の利用又は利用不能により生じた損害について責任を負いません。
-
本ポリシーは、当社が行う脆弱性の調査及び対策の提供について、その実施、時期又は結果を保証するものではありません。本ポリシーに記載する受領確認その他の対応時期は目安であり、これを確約するものではありません。
-
本ポリシーは、当社の対応について定めるものであり、他社製機器の製造元その他の第三者による対応を保証するものではありません。
- 前各項の定めは、「法的措置に関する方針」に定める当社の取扱いを制限し、又は変更するものではありません。
本ポリシーの改定
当社は、本ポリシーを予告なく改定することがあります。改定後の本ポリシーは、当社ウェブサイトに掲載した時点から適用します。ただし、改定前に受領したご報告の取扱いについては、なお改定前の本ポリシーによります。
