NOVATT JAPAN株式会社

NOVATT JAPAN株式会社（以下「当社」）は、製品・サービスの安全性を維持するため、脆弱性に関する報告を受け付け、調査、対策および適切な情報開示に取り組みます。

1　対象範囲

当社が提供する全ての製品・サービスを対象とします。第三者の製品・サービスに関係する場合は、責任範囲を確認し、関係者と連携します。サポートを終了した製品の報告も受け付け、影響を確認し、利用停止や移行等を含む対応を案内します。

2　報告方法

脆弱性報告窓：https://novattjapan.co.jp/contact/

製品名・型番、バージョン、問題の概要、再現条件・手順、想定される影響および返信先をご記載ください。関連サービスのURLや検証資料がある場合は、必要な範囲でお知らせください。匿名の報告も受け付け、秘密保持契約の締結を受付の条件とはしません。返信先がない場合は個別のご連絡ができません。

調査に不要な個人情報や認証情報は送付しないでください。機密資料の安全な送付方法は、事前に窓口へご相談ください。

3　受付、調査および対策

当社の受付担当は、報告を受け付け、受付番号を付与します。報告者が指定した返信先へ電子メールで受領確認を行い、受付番号、担当窓口および次回連絡予定をご案内します。以後は同じ受付番号を用いて連絡し、必要に応じて報告者と合意した電話等の方法を併用します。返信先がない匿名報告も調査対象としますが、個別の連絡はできません。

受付担当は、ソフトウェア開発部門その他の関係部門と連携し、再現性、対象製品・バージョン、脆弱性の種類、深刻度、悪用の可能性・実績および設備の運転・安全への影響を調査します。不足する情報がある場合は、報告者へ再現条件や検証資料等の追加情報を依頼します。調査結果に基づき、第4章に従って優先度を決定し、設定変更、暫定的な回避策、ソフトウェア・ファームウェアの修正その他の対策を実施します。修正は、適用試験、機能試験およびセキュリティ上の確認を行ったうえで提供します。
報告者には、調査結果、対応方針および対応予定を電子メール等で連絡します。対象外、重複または脆弱性に該当しないと判断した場合も、その理由を説明します。解決までの進捗連絡および情報開示は第5章に従って行い、善意の調査・報告には第8章の保護方針を適用します。

4　優先度と対応目標

CVSS等による深刻度に加え、実際の悪用状況、到達可能性、情報資産および設備の安全への影響を考慮して優先度を決定します。製品が影響を受けると確認した日を起点とする修正提供の目標は、次のとおりです。

区分	CVSSv3.0　スコア	修正提供の目標
深刻（Critical）	7.0～10.0	初動対応24時間以内、恒久対応7日以内
高（High）	4.0～6.9	初動対応 3日以内、恒久対応30日以内
中・低（Medium／Low）	0.1～3.9	初動対7日以内、 恒久対応90日以内

期限の起算点は、脆弱性を認知した時点としてください。また、初動対応には影響調査・暫定対策・関係者への通知、恒久対応には修正版の提供などが含まれる。

上記は対応目標であり、一律の完了保証ではありません。既に悪用されている場合や安全への重大な影響がある場合は、上記期限を待たずに注意喚起と暫定措置を優先します。目標内に修正を提供できない場合は、理由、暫定措置および見直した対応予定を関係者へ連絡します。

5　状況の管理、連絡および開示

受付担当は、案件ごとに受付番号、担当部門、影響を受ける製品・バージョン、優先度、対応状況、対策内容、対応予定および連絡・公表履歴を記録します。受付、調査、対策、検証、修正提供および解決の各段階で記録を更新し、解決まで進捗を管理します。調査中に影響範囲や悪用状況が変化した場合は、優先度と対応方針を見直します。
報告者には、第3章の連絡方法により、調査の進捗、対策の検討・実施状況、修正の提供予定および次回連絡予定をお知らせします。解決まで、報告者に案内した次回連絡日までに進捗を連絡し、進展がない場合もその旨と理由を説明します。対応が遅れる場合は、遅延理由、暫定措置および見直した予定をお知らせし、重要な変更がある場合は予定を待たずに連絡します。

ソフトウェア開発部門は、セキュリティアップデートのリリース時に、ソフトウェアパッケージ公開ページへ、修正対象の脆弱性とそのリスク、更新内容と必要性、更新しない場合の影響、修正済みバージョン、ダウンロード方法および適用手順を掲載します。修正前であっても利用者の保護に必要な注意喚起を行い、解決まで、影響範囲、対策または提供予定等に変更が生じた際に、掲載日・更新日とともに情報を更新します。必要に応じて、顧客サポート担当が電子メールまたは保守窓口を通じて対象利用者に通知します。

報告者や関係する開発元と公開時期・内容を調整し、利用者が対策を実施するために必要な情報を提供する一方、攻撃を助長する詳細情報の公開を避けます。謝辞の掲載は報告者の同意を得て行います。
対策の有効性を確認し、修正または必要な対策を提供した後、報告者へ対応結果と解決した旨を連絡します。利用者向けの公開情報にも最終的な対応状況を反映し、対応記録を保存します。新たな影響が判明した場合は、調査と情報更新を再開します。

ソフトウェアパッケージ公開ページURL：https://novattjapan.co.jp/work/

6　対応体制および情報収集

情報セキュリティの統括責任者のもと、製品セキュリティ対応担当（PSIRT機能）、製品担当、開発担当、品質確認担当、運用担当および顧客サポート担当が連携します。公的機関、OS・ソフトウェア・ライブラリ・ハードウェア等の供給者からの情報も継続的に収集し、当社製品への影響を確認します。重大な問題は統括責任者へ速やかに報告し、必要な対策と通知を決定します。

7　ステークホルダーとの連携

開発、製造、運用または保守に外部事業者が関与する場合は、役割、担当窓口および連絡先を社内の連絡体制表で管理します。電子メール、電話、オンライン会議等により連絡し、緊急時は複数の手段で連携します。当社は、影響確認、修正、検証、更新提供および利用者への通知を統括します。

8　善意の調査・報告に対する保護

当社は、本ポリシーに沿って誠実に行われた調査・報告について、当社が権利を有する範囲で、当該行為を理由とする法的措置を取らず、当社に対する損害賠償責任を問わない方針とします。結果として脆弱性ではなかった報告にも適用します。

調査は、自ら所有する環境または明示的な許可を得た環境で、必要最小限の範囲に限定してください。第三者の情報の取得・改ざん、サービス妨害、設備の危険な操作は行わないでください。意図せず機密情報に触れた場合は調査を中止し、追加取得を避けて当社にお知らせください。

本方針は第三者の権利に関する許可・免責や、捜査・司法機関の判断を保証するものではありません。範囲が不明な場合は、調査前に窓口へご相談ください。

9　報告情報の保護

個人情報は当社のプライバシーポリシーに従って管理し、調査・対策に必要な担当者にアクセスを限定します。関係者への共有は必要最小限とし、守秘義務を確認します。

10　改定

改定時は、本ページに改定日と変更内容を掲載します。改定のみを理由として、既に公表した製品サポート義務を取り消すことはありません。

最終改定日：2026/09/02