漏洞公开政策

1.基本方针

本公司针对产品中可能存在的漏洞,持续开展发现、评估、修复及信息共享工作。
在应对漏洞时,以将对用户的影响降至最低为最优先事项,与相关方进行协调应对。

2.漏洞管理体制

本公司建立负责漏洞报告的受理、评估、应对及公布的窗口和运营体制。
负责部门开展以下活动:

• 漏洞信息的受理及记录
• 技术评估及影响分析
• 制定修复计划
• 实施及验证修复措施
• 与利益相关方的联络
• 根据需要发布安全公告及公开漏洞信息

3.适用范围

本政策适用于本公司开发、制造或提供的工业缝纫机、自动机及软件。
关于维护对象产品和非维护对象产品的区分,请遵循本公司另行公布的支持方针。
因第三方提供的产品或软件引起的漏洞不在本政策的适用范围内。

4.漏洞信息联系方式

本公司通过以下窗口受理有关漏洞的信息。

<联系窗口>
网页表单：https://www.pegasus.co.jp/zh/contact/form/index.php?form=psirt
专用邮箱地址：apparel-psirt@pegasus.co.jp
请报告者在可能的范围内提供以下信息:

• 相关产品名称
• 相关版本
• 漏洞内容
• 重现步骤
• 预计影响
• 联系方式(姓名、单位、邮箱地址、电话号码)

本窗口仅用于漏洞信息。无法回复与漏洞无关的咨询。

5.个人信息的处理

本公司将在漏洞报告时获取的姓名、单位、邮箱地址、电话号码及其他个人信息用于以下目的:

• 漏洞应对相关的联络
• 报告内容的确认与调查
• 漏洞应对相关的记录管理
• 其他漏洞应对所需的业务

关于本公司对个人信息的处理,将遵循另行制定的隐私政策（https://www.pegasus.co.jp/zh/privacy/）。

6.安全通信

为了确保漏洞信息的安全收发，本公司将致力于通过HTTPS保护通信，并提供其他适当的安全通信手段。
请报告者不要通过公开渠道或社交媒体等途径发送漏洞的详细信息。

7.信息泄露防止

本公司在漏洞修复或公开之前,将该信息作为机密信息进行管理。
漏洞信息的访问仅限于业务上必要的负责人,并实施以下管理:

• 访问权限管理
• 通信路径及共享媒介的保护
• 存储于经批准的系统
• 共享记录的维护

从保护用户的角度出发,请本公司与报告者在双方商定的公开时间之前,暂不公开漏洞详细信息。

8.协调漏洞披露

本公司基于协调漏洞披露的原则进行应对。
本公司与报告者进行持续沟通,目标如下:

• 报告接收确认
• 调查情况的共享
• 应对计划的联络
• 公开时间的协调

可能会请求报告者配合，在修复完成之前不要公开漏洞信息。

9.本公司的应对

从收到漏洞报告到回复可能需要一定时间。
回复将发送至指定的邮箱地址。
在本公司规定的休息日(周六周日及节假日、年末年初假期、暑假、黄金周等)期间,回复可能会有所延迟。
关于您反馈的产品漏洞相关信息，将由本公司的产品开发与设计部门进行确认和验证,若判断为新漏洞,将就修复及发布安全公告的事宜进行协调。
如为已知漏洞,将在与报告者达成共识后结束处理。
另外,对于已终止支持的产品,可能不进行修复,敬请谅解。

10.漏洞的评估及修复

本公司对收到的漏洞信息进行风险评估,并根据需要采取以下措施:

• 软件更新
• 设置变更
• 提供规避措施
• 发布安全公告

11.持续改进

本公司为提升产品安全性,致力于漏洞管理流程及安全措施的持续改进。
此外,本政策也将根据需要进行修订。

12.奖励

本公司不论报告内容如何,均不提供奖励。

13.免责声明

本公司将努力对收到的漏洞信息予以认真处理,但并不保证对所有报告均会进行修复、提供规避措施或公开漏洞信息。
本公司将在遵守适用法律义务的前提进行应对,但并不保证回复、修复及其他应对措施的实施时间或完成时间。
此外,由于产品支持终止、技术限制及其他原因,可能无法实施应对。
本公司可能会将收到的漏洞信息用于漏洞应对及产品安全性的提升。
此外,本公司不对与报告相关产生的费用及其他损失承担责任。

14.语言

本政策以日语版为正本,如与英语版、中文版之间出现解释上的差异,以日语版为准。

15.修订

本政策可能在不事先通知的情况下进行变更。