セキュリティ脆弱性開示方針｜ASB 日精エー・エス・ビー機械株式会社

日精エー・エス・ビー機械株式会社およびその関係会社（以下「ASB グループ」）は、製品およびサービスのセキュリティ確保に努め、サイバー脅威からお客様を保護することに取り組んでいます。
この目的を達成するため、当グループは製品の脆弱性に関する情報を収集し、公開しています。

1. 製品脆弱性管理

当グループは、製品の脆弱性に対応するため、製品セキュリティ・インシデント対応チーム（PSIRT）を設置しています。
PSIRTは、様々な情報源から製品のセキュリティ脆弱性に関する情報を収集し、その情報に基づいてリスクの特定および軽減を行います。

2. 対象製品

本方針は、当グループが製造する製品、販売品（付属機器、保守部品など）、および当該製品と組み合わせて使用される当グループ提供のアプリケーション（以下「対象製品」といいます）に適用されます。

3. 除外事項

以下の種類の脆弱性は、報告の対象外となります。

当グループが既に把握しており、かつ対策が公表されている脆弱性。
当グループを装ったソーシャルエンジニアリング攻撃。
手動での検証が行われていない、自動スキャンツールによって検出された脆弱性。

4. 脆弱性報奨金制度

脆弱性情報（以下「脆弱性情報」といいます）の内容にかかわらず、当グループは、脆弱性を報告した者（以下「報告者」といいます）に対して、いかなる報酬（金銭的またはその他）も提供しません。

5. 脆弱性情報の取り扱い

5.1. 報告

報告フォームは脆弱性の報告専用です。
当社は報告を受信後遅滞なくその内容を確認し、指定されたメールアドレス宛に受領確認メールを送信いたします。

5.2. 初期対応

報告を受領した後、当グループはその内容を精査します。なお、報告の初期トリアージおよび技術的解析の補助として、AI（人工知能）ツールを利用する場合があります。ただし、最終的な評価および判断はすべて当社の担当者（人間）が行います。報告された問題が新しい脆弱性であると判断された場合、当グループは指定されたメールアドレスを通じて速やかに報告者に通知します。

5.3. 調査、対応および公開

進捗状況については、必要に応じて更新情報を提供します。問題が新しい脆弱性であると確認された場合、当グループは関係者*と調整して公開日を決定し、準備が整い次第、セキュリティアドバイザリを公開します。
調査の過程で追加情報の提供をお願いすることがありますので、ご協力をお願いいたします。
*関係者には以下が含まれる場合があります：

報告者
内部関係者（例：技術、広報、法務部門など）
外部関係者（例：サプライヤー、JPCERT/CC や ENISA などの専門機関・関係当局）

6. 脆弱性対策

脆弱性およびセキュリティインシデントへの対応において、当グループは必要に応じて政府機関と連携し、お客様に情報提供を行うことがあります。
脆弱性情報および対策は、適切な時期に公開されます。
脆弱性が特定のお客様に影響を及ぼす可能性があると判断された場合、当グループは個別にご連絡することがあります。

7. 報告された脆弱性情報に関する権利

当グループに脆弱性情報を提出することにより、報告者は以下の事項に同意したものとします。

報告者は、当該脆弱性情報を報告する適法な権利を有していること、およびそれが第三者の権利を侵害していないことを表明し、保証するものとします。
報告者は、当グループまたは当グループから当該権利を承継し、もしくは許諾された者に対し、著作者人格権を行使しないものとし、また、著作者に行使させないものとします。
報告者は、当グループに対し、脆弱性情報およびそれに関連する知的財産権を使用するための、世界的、非独占的、無償、再許諾可能、かつ譲渡可能なライセンスを許諾するものとします。
相談・通報に関するお取引先様へのご連絡に関しては、公益通報対応業務従事者に対してのみ、ご連絡させていただく場合がございます。
このライセンスには、以下の権利が含まれますが、これらに限定されません。
- 脆弱性情報に基づく対策や回避策の開発および公開。
- 既存製品の修正および改良。
- 脆弱性情報に基づいて修正、改良、または新規に開発された製品の開発、製造、商用化、販売および配布。
報告者は、事前の承諾なく、報告に対する当グループの回答のいかなる部分も開示または使用しないことに同意するものとします。