脆弱性開示ポリシー

本ポリシーの目的

アイリスオーヤマ株式会社（以下「当社」）は、当社が提供する製品およびその付随サービスについて、セキュリティ上の脆弱性に関する報告を受け付け、確認し、必要な対策を講じるための窓口と手続きを定めます。

製品をより安全にご利用いただくため、脆弱性を発見された方からのご報告を歓迎します。

対象

• 本ポリシーは、当社が提供する製品およびその付随サービスを対象とします。
• 当社製品に組み込まれている第三者製のソフトウェアに起因する脆弱性は、提供元と連携して対応します。
• サポートを終了した製品については、詳細な調査を行わない場合があります。

報告の方法

ご報告の際は、次の情報を判明している範囲でお知らせください。

• 対象の製品名、型番およびソフトウェアのバージョン
• 脆弱性または事象の内容
• 再現手順または再現条件
• 想定される影響
• ご連絡先（メールアドレス等）
• お名前（任意）

匿名でのご報告も受け付けます。お名前の提供がない場合は、ご提供いただいたメールアドレス等を宛名としてご連絡します。ただし、連絡先の提供がない場合、またはご提供いただいた連絡先に連絡できない場合は、追加の確認や調査状況のご連絡ができないことがあります。

個人情報の取り扱い

ご報告にあたってご提供いただいた個人情報および報告内容は、以下の目的の範囲内で利用し、当社の個人情報保護方針（プライバシーポリシー）に従って管理します。

• ご報告内容の確認およびご報告者との連絡
• 脆弱性の調査、影響範囲の特定および対応
• 対応状況および対応結果のご報告
• 製品およびサービスの安全性向上ならびに再発防止
• 脆弱性対応に関する記録の作成および管理

当社製品に組み込まれた第三者製ソフトウェアに起因すると考えられる脆弱性については、調査および対応に必要な範囲で、報告内容およびご報告者の情報を当該ソフトウェアの提供元その他の関係者に共有する場合があります。この場合も、適用される法令および当社の個人情報保護方針に従って取り扱います。

報告を受けた後の手続き

当社は、原則として、次の手順で対応します。ただし、脆弱性の内容、深刻度、影響範囲その他の事情により、対応の順序や期間が変更される場合があります。

状況の更新

ご連絡先をいただいた場合、当社は、合理的な範囲で、次のタイミングで進捗をお知らせします。

• 報告の受領の確認をした時点
• 事象の再現および深刻度の評価が完了した時点
• 対策の方針が決まった時点
• 対策の提供が完了した時点

上記の間に期間が空く場合も、原則として60 営業日ごとに状況をご連絡します。ただし、匿名で連絡先が提供されていない場合、ご提供いただいた連絡先に連絡できない場合、またはその他やむを得ない事情がある場合は、状況のご連絡ができないことがあります。

お願い

当社がご報告の内容を確認し対策を提供するまでの間、報告内容および脆弱性の詳細の第三者への公表をお控えいただくようお願いします。公表の時期については、ご報告者と当社の間で調整させていただきます。

また、次の行為はお控えください。

• 実際に稼働している他のお客様の製品や当社のサービスに対する試験
• データの改変、破壊、または持ち出し
• サービスの可用性を損なう行為

皆さまからお寄せいただいた情報を適切に活用し、製品およびサービスの安全性向上に努めてまいります。お客さまに安心して弊社製品をご利用いただけるよう、脆弱性への対応および情報発信に継続的に取り組んでまいります。