フェーズ 1
受付・情報収集
目的
当社は、お客様に安心して製品をご利用いただけるよう、製品セキュリティの確保に継続的に取り組んでいます。 本ポリシーでは、当社製品に関するセキュリティ脆弱性の受付から、評価、修正、情報公開までの対応方針についてご説明します。また、脆弱性をご報告いただく皆様に、当社の対応手順をご理解いただくことを目的としています。
対象範囲
本ポリシーは、当社のNGFW製品および関連ファームウェアを対象としたセキュリティ脆弱性の報告に適用されます。
対象 — 製品の機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）に影響を及ぼす可能性のある脆弱性であり、第三者による不正な行為によって悪用されるおそれのあるものを対象とします。主な例は以下のとおりですが、これらに限定されません。
- 不正アクセス
- 権限昇格
- リモートコード実行 (RCE)
- 情報漏えい
- 認証回避
- サービス運用妨害（DoS）
- その他、悪用可能なセキュリティ上の問題
対象外 — 以下のような内容は、本ポリシーに基づく脆弱性報告の対象外となります。
- 機能追加のご要望や改善提案、UI/UXに関するご意見。
- セキュリティ上のリスクを伴わない仕様や動作に関する内容。
- 互換性、相互運用性、導入環境に起因する問題。
- 性能に関する問題やマニュアル・ドキュメントの修正提案。
- 実証可能な攻撃手法を伴わない、セキュリティ上の推奨事項に関するご提案。
- 技術的なお問い合わせ、設定支援、トラブルシューティングなど、一般的なサポートに関する内容。
なお、対象外と判断されたご報告につきましては、内容を確認の上、必要に応じて適切なサポート窓口へご案内いたします。
脆弱性対応の手順
当社では、報告された脆弱性について適切かつ一貫した対応を行うため、以下の手順に基づき対応を実施しています。
フェーズ 2
初期確認（トリアージ）
フェーズ 3
再現確認・影響評価
フェーズ 4
修正対応
フェーズ 5
セキュリティ情報の公開
フェーズ 1
受付・情報収集
フェーズ 2
初期確認（トリアージ）
フェーズ 3
再現確認・影響評価
フェーズ 4
修正対応
フェーズ 5
セキュリティ情報の公開
- 脆弱性報告フォームを通じて、報告者の皆様からセキュリティ上の問題および関連する技術情報を受け付けます。
- 報告内容が製品セキュリティの対象範囲に該当するかを確認し、内容の一次精査を行います。
- 弱性の再現可否を確認し、影響範囲および深刻度について評価を実施します。
- 脆弱性の修正を実施し、社内検証を通じて正確性および安定性を確認します。
- 修正対応完了後、当社セキュリティ情報ページにてセキュリティアドバイザリを公開します。
当社の基本方針
当社は、セキュリティ脆弱性に関する報告を誠実に受け止め、責任を持って対応するため、以下の方針に基づき取り組んでいます。
- すべての報告について真摯に受け止め、適切に対応します。
- 修正対応の完了および検証が完了するまで、脆弱性情報の公開は行いません。
- 対応プロセス全体を通じて、報告者の皆様との必要なコミュニケーションを維持します。
- ユーザーの安全性および製品の安定性を最優先に対応します。
- 修正パッチの提供までのリスク低減のため、原則として90日間のエンバーゴ（公開猶予期間）を設けています。
また、セキュリティ研究コミュニティの皆様には、責任ある情報開示を通じた製品セキュリティ向上へのご協力をお願い申し上げます。
脆弱性のご報告
当社製品に関するセキュリティ上の問題を発見された場合は、以下のフォームよりご報告ください。
謝辞
当社製品のセキュリティ向上のため、脆弱性の発見・報告にご協力いただいているセキュリティ研究者の皆様、お客様、およびパートナーの皆様に深く感謝申し上げます。
皆様からのご協力は、当社製品およびセキュリティコミュニティ全体の安全性向上に大きく貢献するものです。