脆弱性公開ポリシー

1.基本方針

当社は、製品に存在する可能性のある脆弱性について、継続的な発見、評価、修正および情報共有を実施します。
脆弱性への対応においては、利用者への影響を最小限に抑えることを最優先とし、関係者との協調的な対応を行います。

2.脆弱性管理体制

当社は、脆弱性報告の受付、評価、対策および公表を担当する窓口および運営体制を整備します。
担当部門は以下の活動を実施します。

• 脆弱性情報の受付および記録
• 技術的評価および影響分析
• 修正計画の策定
• 修正措置の実施および検証
• 利害関係者との連絡
• 必要に応じたセキュリティアドバイザリの発行および脆弱性情報の公開

3.対象範囲

本ポリシーは、当社が開発、製造または提供する工業用ミシン、自動機、およびソフトウェアを対象とします。
保守対象製品および保守対象外製品の区分については、当社が別途公表するサポート方針に従います。
第三者が提供する製品またはソフトウェアに起因する脆弱性は、本ポリシーの対象外とします。

4.脆弱性情報の連絡先

当社は、脆弱性に関する情報を下記の窓口で受け付けます。

＜連絡窓口＞
Webフォーム：https://www.pegasus.co.jp/ja/contact/form/index.php?form=psirt
専用メールアドレス：apparel-psirt@pegasus.co.jp
報告者は可能な範囲で以下の情報を提供してください。

• 対象製品名
• 対象バージョン
• 脆弱性の内容
• 再現手順
• 想定される影響
• 連絡先情報（氏名、所属、メールアドレス、電話番号）

本窓口は脆弱性情報専用です。脆弱性に関連しないお問い合わせにはご回答できません。

5.個人情報の取扱い

当社は、脆弱性報告に際して取得した氏名、所属、メールアドレス、電話番号その他の個人情報を、以下の目的で利用します。

• 脆弱性対応に関する連絡
• 報告内容の確認・調査
• 脆弱性対応に関する記録管理
• その他、脆弱性対応に必要な業務

当社による個人情報の取扱いについては、別途定めるプライバシーポリシー（https://www.pegasus.co.jp/ja/privacy/）に従います。

6.セキュア通信

当社は、脆弱性情報の安全な送受信のため、HTTPSによる通信保護その他適切なセキュア通信手段の提供に努めます。
報告者には、脆弱性の詳細情報を一般公開された経路やSNS等で送信しないようお願いします

7.情報漏洩防止

当社は、脆弱性の修正または公開までの間、当該情報を機密情報として管理します。
脆弱性情報へのアクセスは業務上必要な担当者に限定し、以下の管理を実施します。

• アクセス権限管理
• 通信経路および共有媒体の保護
• 承認されたシステムへの保管
• 共有記録の維持

当社および報告者は、利用者保護の観点から、当社と報告者との間で合意した公開時期までは、脆弱性の詳細情報の公開を控えていただくようお願いいたします。

8.協調的脆弱性開示

当社は、協調的脆弱性開示の原則に基づき対応します。
当社は、報告者との継続的なコミュニケーションを行い、以下を目標とします。

• 報告受領確認
• 調査状況の共有
• 対策予定の連絡
• 公開時期の調整

報告者に対しては、修正対応が完了する前に脆弱性情報を公開しないよう協力をお願いする場合があります。

9.当社の対応

脆弱性のご報告をいただいてからご回答までにお時間をいただく場合がございます。
ご回答は、指定のメールアドレスへご連絡いたします。
当社所定休業日（土日祝、年末年始休暇、夏季休暇、ゴールデンウィーク等）の期間中はご連絡が遅れる場合がございます。
ご連絡いただいた製品の脆弱性に関する情報は、当社の製品開発・設計部門で確認・検証を行い、新規の脆弱性と判断されました場合、修正およびセキュリティアドバイザリの公開について調整させていただきます。
既知の脆弱性の場合は、ご報告者様との合意のうえ、対応を終了させていただきます。
なお、サポート終了製品につきましては修正対応を行わない場合がございますことをご了承ください。

10.脆弱性の評価および修正

当社は、受領した脆弱性情報についてリスク評価を実施し、必要に応じて以下の措置を講じます。

• ソフトウェアアップデート
• 設定変更
• 回避策の提供
• セキュリティアドバイザリの発行

11.継続的改善

当社は、製品のセキュリティ向上のため、脆弱性管理プロセスおよびセキュリティ対策の継続的な改善に努めます。
また、本ポリシーにつきましても必要に応じて見直しを行います。

12.報奨

当社ではご報告の内容に関わらず、報奨はご提供しておりません。

13.免責事項

当社は、受領した脆弱性情報について誠実に対応するよう努めますが、すべての報告に対して修正、回避策の提供または脆弱性情報の公開を保証するものではありません。
当社は、適用される法令上の義務を遵守しつつ対応を行いますが、回答、修正その他の対応の実施時期または完了時期を保証するものではありません。
また、製品のサポート終了状況、技術的制約その他の理由により、対応を実施できない場合があります。
当社は、受領した脆弱性情報を脆弱性対応および製品の安全性向上のために利用することがあります。
また、報告に関連して発生した費用その他の損害について当社は責任を負いません。

14.言語

本ポリシーは日本語版を正本とし、英語版、中国語版との間に解釈上の相違が生じた場合には日本語版を優先します。

15.改訂

本ポリシーは予告なく変更される場合があります。