脆弱性開示ポリシー
制定日: 2026年6月6日 (v1) / Vulnerability Disclosure Policy v1
株式会社SHIMOHA（以下「当社」）は、当社が提供するIoT製品およびクラウドサービス（以下「本製品等」）のセキュリティ品質を継続的に維持するため、本ポリシーに基づき脆弱性報告を受け付け、報告者と協調して対応します。本ポリシーは、IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」★1適合基準 S1.1-05 および ISO/IEC 29147 を参考に策定しています。
1. 対象範囲
- 当社が製造・販売するIoT機器（型番一覧は 製品ページ に掲載）
- 当社が提供するクラウドサービス（Microsoft Azure Marketplace / AWS Marketplace 経由を含む）
- 当社が提供するクライアントアプリケーション（Windows / iOS / Android）
- 当社公式ドメイン:
shimoha.co.jpおよびそのサブドメイン
対象外: 第三者が提供する依存ライブラリ・OSS の上流で報告すべき脆弱性、当社の管理下にないお客様独自構成、フィッシング・ソーシャルエンジニアリングの試行。
2. 報告先・報告方法
- 専用メールアドレス: support@shimoha.co.jp
- 使用言語: 日本語または英語
2.1 報告に含めていただきたい情報
- 対象製品・サービス名およびバージョン（ファームウェアバージョン、アプリバージョン等）
- 脆弱性の概要および想定される影響
- 再現手順（PoC コード、スクリーンショット、ログを含む）
- 発見した環境（ネットワーク構成、接続デバイス、OS 等）
- 報告者氏名（または公表時に使用する名義）、連絡先メールアドレス
- 公表予定の有無、公表希望時期（あれば）
3. 当社の対応プロセスと目安期間
| ステップ | 内容 | 目安 |
|---|---|---|
| 受領 | 報告者へ受領確認メールを返信 | 3 営業日以内 |
| 初期評価 | 影響範囲・深刻度（CVSS v3.1）の暫定評価、報告者への第一回連絡 | 10 営業日以内 |
| 調査・修正 | 原因特定、修正方針確定、ファームウェア／クラウド側パッチ開発 | 原則 90 日以内 |
| 配布・適用 | OTA 配信、または利用者への手動更新案内 | 修正完了後 速やかに |
| 公表 | 必要に応じて当社サイトおよび JVN / JPCERT/CC 経由で情報公開 | 修正配信後 または 報告者と協議の上 |
製品の特性上、ハードウェア改修や大規模なシステム改修が必要な場合は 90 日を超えることがあります。その際は報告者へ進捗を随時共有します。
4. 報告者への対応・謝意
- 報告者の同意なく、報告者の氏名・連絡先を第三者に開示しません。
- 誠実かつ非破壊的に発見・報告された脆弱性については、当社は報告者に対して法的措置を講じません（セーフハーバー）。
- 修正完了後、報告者の希望に応じて当社「謝辞ページ」または公表アドバイザリにクレジットを掲載します。
- 現時点で金銭的報奨（バグバウンティ）は提供していません。
5. 報告者にお守りいただきたい事項（責任ある開示）
- 当社が修正版を公開する前に、第三者へ脆弱性情報を開示しないでください。
- 個人情報、業務データ、サービス可用性に影響を与える検証は行わないでください。
- 当社サービスへの破壊的テスト、DDoS、ソーシャルエンジニアリング、物理的侵入は禁止です。
- 本ポリシーに違反した場合、セーフハーバーは適用されません。
6. 制度上の位置付け
本ポリシーは、IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」★1 適合基準 S1.1-05「脆弱性開示ポリシー」の要求事項に対応するものです。当社製品のJC-STAR適合状況は IPA 適合ラベル取得製品リスト で確認できます。
7. 改定履歴
- v1: 2026年6月6日 制定
所管: 株式会社SHIMOHA セキュリティ窓口 / 連絡先 support@shimoha.co.jp