脆弱性公開ポリシー

はじめに
ノーリツプレシジョン株式会社（以下、「当社」）は、お客様に安全性の高い製品・サービスをご提供するため、製品のセキュリティ維持・改善に継続的に取り組んでいます。本ポリシーは、当社製品・サービスに脆弱性が発見された場合の情報公開に関する基本方針を定めるものです。
公開の目的
- お客様への迅速かつ正確な情報提供により、適切な対策を促し、お客様の被害を最小限に抑えること。
- 透明性の高い情報公開を通じて、製品・サービスの信頼性を維持・向上させること。
公開の基本原則
当社は、脆弱性の情報公開にあたり、以下の原則に基づき行動します。
- 報告を受領してから5営業日以内に初期受領確認の連絡をいたします。
- 責任ある開示 (Coordinated Vulnerability Disclosure: CVD) の原則を尊重します。
  脆弱性の発見者および当社の間で連携し、対策の準備が整うまで、脆弱性情報の一般公開を調整します。
- 情報公開は、原則として対策（修正パッチ、回避策など）が確立し、お客様へ提供可能となった時点で行います。
- お客様の誤解や混乱を招かないよう、正確で分かりやすい情報を提供します。
情報公開の内容とタイミング
- 4.1. 公開する情報
  公開情報には、少なくとも以下の事項を含めます。
  - 脆弱性の概要と深刻度（CVSSスコアなど）。
  - 対象製品・サービス名および影響を受けるバージョン。
  - お客様が実施すべき対策（修正プログラムの適用、回避策など）。
  - 関連するCVE ID（可能な場合）。
- 4.2. 公開タイミングの調整
  - 情報公開の準備期間は、脆弱性の深刻度、影響範囲、対策の難易度などにより異なります。
  - 原則として、当社が脆弱性の対策を完了し、お客様がその対策を適用可能となった時点で公開します。
  - ゼロデイ攻撃など、緊急性が高いと判断される場合は、対策が未完了であっても、お客様の被害拡大を防ぐため、暫定的な情報（回避策など）を公開する場合があります。
サポート期間
当社製品の脆弱性に対するサポート期間は、製品のリリースから5年間、または製品のライフサイクルのうち短い期間となります。
情報公開の窓口
当社製品・サービスの脆弱性に関する情報は、以下の窓口を通じて公開します。
- 当社ホームページのセキュリティ情報ページ（PSIRT関連ページ）
- JPCERT/CCなどの調整機関との連携による情報公開
その他
本ポリシーは、必要に応じて予告なく変更することがあります。
最新の情報は、常に本セキュリティ情報ページをご確認ください。