製品脆弱性ハンドリング・開示ポリシー
1.本ポリシーの目的
株式会社サキコーポレーション（以下「当社」）は、お客様の資産に対するサイバー脅威のリスクを低減し、生産環境の安全性と完全性を確保することを目的として、本ポリシーを制定します。本ポリシーは、当社製品（AOIおよびAXI検査装置、ならびに関連するソフトウェアおよびサービス）において発見された脆弱性の取扱いおよび開示の方法を定めるものです。
当社は、セキュリティ研究者、お客様、および調整機関と協力し、脆弱性の迅速な解決と、影響を受けるユーザーへの適時かつ正確な情報提供に努めます。
2.適用範囲
本ポリシーは、当社が製造するデジタル要素を含む全ての製品に適用されます。
- 自動検査装置
- 関連する検査ソフトウェアおよびファームウェア
- 当社が提供する周辺ツールおよびサービス
当社が製造していない製品（OSやサードパーティ製ハードウェアコンポーネント等）については、それぞれの製造者にお問い合わせください。
3.脆弱性ハンドリングプロセス
当社の脆弱性ハンドリングプロセスは、以下の4つのステップで構成されます。
3.1 脆弱性報告の受付
当社製品に関する脆弱性情報を、セキュリティ研究者、お客様、CERT/CSIRT組織、および社内チームを含むあらゆるソースから受け付けます。
脆弱性情報を受領した際は、関連する技術チームおよび調整機関（JPCERT/CC、ENISA、その他のCERT等）と連携し、問題の評価と対応を行います。
初動対応
脆弱性情報の受領確認後、3営業日以内に受領確認のご連絡を差し上げます。なお、年末年始、ゴールデンウィーク、夏季休暇期間中は対応が遅れる場合があります。
本窓口はサキ製品のセキュリティ脆弱性報告専用です。一般的な製品のお問い合わせや技術サポートについては、担当営業までご連絡ください。
報告者の方へのお願い：
- 脆弱性の再現に十分な情報をご提供ください
- 検証に必要な範囲を超えて脆弱性を悪用しないでください
- 当社が修正を確認するか、開示時期について合意するまで、脆弱性を公開しないでください
- テスト中に他者のデータへのアクセス、変更、削除を行わないでください
3.2 脆弱性の分析・評価
報告された問題が有効な脆弱性に該当するかどうかを、以下の基準に基づき判断します。
- 当社製品のセキュリティに影響を及ぼす可能性があるか（機密性、完全性、可用性への悪影響）
- 現実的な条件下で当社製品にて再現できるか
- これまで未知または未対応のものであるか
有効な脆弱性と確認された場合、CVSS（共通脆弱性評価システム）を参考に深刻度を評価し、製品固有の利用環境を加味した上で対策の優先度を決定します。
3.3 対策の実施
深刻度評価に基づき、適切な対策を実施します。
- 緊急・高深刻度： 実務上可能な限り速やかにパッチまたはアップデートを提供（目標：90日以内）
- 中深刻度： 次回の定期リリースで対応（目標：120日以内）
- 低深刻度： 将来のリリースサイクルで対応
即時のパッチ適用が困難な場合は、影響を低減するための回避策または一時的な緩和策のガイダンスを提供します。
3.4 脆弱性情報の公開
お客様への脆弱性情報の提供は、協調的脆弱性開示（CVD）の原則に基づき、報告者および関連組織と協議の上、適切な時期に行います。
脆弱性情報の開示方法：
- サービス担当者を通じた影響を受けるお客様への個別通知
- 規制上必要な場合のCERT/CSIRT組織への報告
4.セーフハーバー（報告者の保護）
当社は、以下の条件を満たす個人に対して法的措置を講じません。
- 善意で、かつ本ポリシーに従って脆弱性を報告した方
- プライバシー侵害、データ破壊、またはサービスの中断を避けるために合理的な努力をされた方
- 検証に必要な範囲を超えて脆弱性を悪用しなかった方
当社は、本ポリシーに従って実施されたセキュリティ調査を正当な活動とみなし、善意の報告者に対して法的請求を行いません。
5.規制適合
本ポリシーは、以下の規制への適合義務を支援するものです。
- EU サイバーレジリエンス法（CRA） — Regulation (EU) 2024/2847, Annex I Part II(5)：協調的脆弱性開示ポリシーの策定・施行義務
- EU機械規則 — (EU) 2023/1230, Annex III Section 1.1.9：改ざんからの保護
- IEC 62443シリーズ — 産業オートメーションおよび制御システムのセキュリティ
6.継続的改善
当社は本ポリシーに基づく取り組みを継続的に見直し、より効果的な脆弱性管理と迅速な対応に努めます。本ポリシーは予告なく改訂する場合があります。改訂の際は本ページにてお知らせします。
改訂履歴
| 日付 | 内容 |
|---|---|
| 2026年8月 | 初版制定 |