脆弱性の適切な開示方針

ノート

IMPORTANT / 重要: The Japanese version of these Terms is the original and authoritative version. The English version is provided for convenience only. In the event of any discrepancy between the Japanese and English versions, the Japanese version shall prevail.

本規約の日本語版が正文となります。英語版は参考のために提供されるものであり、日本語版と英語版の間に矛盾がある場合は、日本語版が優先します。

日本語版（正文）

1. 概要

BBHunt Japan株式会社（以下「当社」といいます。）は、サイバーセキュリティの向上及び脆弱性の適切な管理のために、本脆弱性の適切な開示方針（以下「本ポリシー」といいます。）を定めます。本ポリシーは、当社のプラットフォームを通じて報告される脆弱性の取扱いに関する基本方針を定めるものです。

2. 基本原則

当社は、脆弱性の開示及び取扱いについて、以下の基本原則に従います。

1. 透明性: 脆弱性の報告、評価、及び対応のプロセスについて、適切な範囲で透明性を確保します。
2. 迅速性: 脆弱性の報告を受領した場合、速やかに評価し、対応を行います。
3. 公正性: 脆弱性の報告者に対し、公正かつ敬意を持って対応します。
4. 安全性: 脆弱性の情報は、適切に管理し、不正な利用を防止します。
5. 法令遵守: 脆弱性の取扱いについては、関連法令を遵守します。

3. 対象となる脆弱性

本ポリシーは、以下の条件を満たす脆弱性を対象とします。

1. 当社のプラットフォームを通じて報告された脆弱性
2. クライアントのプログラムのスコープ内にある脆弱性
3. 報告者が本サービスの利用規約を遵守して発見した脆弱性

4. 報告プロセス

1. 脆弱性の報告は、当社所定の報告フォームを通じて行うものとします。
2. 報告には、以下の情報を含むものとします。
   1. 脆弱性の詳細な説明
   2. 脆弱性の再現方法
   3. 脆弱性の影響範囲及び深刻度の評価
   4. 脆弱性の修正に関する推奨事項（任意）
3. 報告は、日本語又は英語で行うものとします。

5. 評価プロセス

1. 当社は、脆弱性の報告を受領した場合、以下の手順で評価を行います。
   1. 報告の受領確認（24時間以内）
   2. 初期評価及び分類（72時間以内）
   3. クライアントへの通知
   4. 深刻度の評価及び報奨金の決定
2. 脆弱性の深刻度は、以下の基準に従って評価します。
   1. 緊急（Critical）: システムの完全な侵害、大規模なデータ漏洩、又はサービスの完全な停止を引き起こす可能性のある脆弱性
   2. 高（High）: 重要なデータの漏洩、サービスの一部停止、又は重要な機能の侵害を引き起こす可能性のある脆弱性
   3. 中（Medium）: 限定的なデータの漏洩、又は一部の機能の侵害を引き起こす可能性のある脆弱性
   4. 低（Low）: 最小限の影響しか与えない脆弱性

6. 対応プロセス

1. 当社は、脆弱性の評価が完了した場合、クライアントに対し、以下の情報を提供します。
   1. 脆弱性の詳細
   2. 深刻度の評価
   3. 修正の推奨事項
   4. 修正の優先順位
2. クライアントは、脆弱性の修正を行うものとし、当社は修正の進捗をモニタリングします。
3. 脆弱性が修正された場合、当社は報告者に対し、その旨を通知します。

7. 報奨金

1. 報奨金は、脆弱性の深刻度、影響範囲、報告の品質等に基づいて決定されます。
2. 報奨金の額は、各プログラムの規約に定めるところによります。
3. 報奨金の支払いは、当社所定の方法により行われます。

8. 守秘義務

1. 脆弱性の報告者は、報告した脆弱性に関する情報を、当社又はクライアントの事前の書面による同意なしに、第三者に開示又は公表してはなりません。
2. 当社は、脆弱性の情報を、適切に管理し、不正な利用を防止します。
3. 脆弱性の公開については、当社又はクライアントが修正を確認した後、当社又はクライアントの指示に従って行うものとします。

9. セーフハーバー

1. 本ポリシーに従い、誠実に行われた脆弱性の報告については、許可された行為とみなされ、当社は報告者に対して法的措置を行わないものとします。
2. 前項の活動に対し、第三者によって報告者に対して法的措置が開始された場合、当社は報告者の行為が本ポリシーを遵守して行われたことを表明するものとします。
3. 報告者の活動が本ポリシーに遵守していない場合、本条のセーフハーバーは適用されません。

10. 禁止事項

脆弱性の報告にあたり、以下の行為は禁止されています。

1. 脆弱性を利用したデータの抽出、ダウンロード又は流出
2. サービス拒否攻撃（DoS攻撃）の実施
3. 社会的エンジニアリング
4. 他人の個人情報への不正アクセス
5. 脆弱性の不当な公開
6. その他、当社が不適切と判断する行為

11. 準拠法及び管轄裁判所

1. 本ポリシーの準拠法は日本法とします。
2. 本ポリシーに起因し又は関連する一切の紛争については、大阪地方裁判所又は大阪簡易裁判所を第一審の専属的合意管轄裁判所とします。

12. 言語

本ポリシーは日本語版を正文とし、日本語版と英語版の解釈が異なる場合は日本語版が優先します。

13. 改訂

当社は、本ポリシーを改訂する権利を有します。改訂されたポリシーは、当社ウェブサイトに掲載された時点で有効となります。