脆弱性開示方針

目的

BMTechは、当社が提供する製品およびサービスのセキュリティの維持・向上に真摯に取り組んでいます。当社は、お客様、セキュリティ研究者、およびセキュリティコミュニティの皆様から、潜在的な脆弱性について責任ある方法でご報告いただくことで、迅速な調査および適切な対応を行えるよう、ご協力をお願いしています。

本方針は、脆弱性の報告方法、BMTechによる報告の取り扱い、および対応プロセスを通じた報告者とのコミュニケーションについて定めるものです。

適用範囲

本方針は、BMTechが開発または管理する製品、ファームウェア、ソフトウェア、クラウドサービス、ウェブサイト、およびその他のシステムに影響を及ぼす脆弱性に適用されます。

BMTechが開発または管理していない第三者の製品やサービスのみに関連する問題については、可能な限り、該当するベンダーまたはサービス提供者へ直接ご連絡ください。

脆弱性の報告方法

BMTechの製品またはサービスにおいてセキュリティ上の脆弱性を発見された場合は、以下のメールアドレスまでご連絡ください。

メール: cybersecurity@bmtech.com

迅速かつ適切な調査を行うため、可能な範囲で以下の情報を含めてご報告ください。

• 影響を受ける製品またはサービスの名称
• 製品モデル、ファームウェアのバージョン、またはソフトウェアのバージョン（該当する場合）
• 脆弱性の詳細な説明
• 再現手順
• 概念実証（PoC）コード、スクリーンショット、ログ、その他の参考情報
• 想定される影響および影響範囲
• ご希望の連絡方法および連絡先情報

報告の取り扱い

報告を受領した後、当社は以下の対応を行います。

• 5営業日以内を目安に、受領確認のご連絡をいたします。
• 報告内容を確認し、セキュリティ上の脆弱性に該当するかを判断します。
• 確認された脆弱性について調査を行い、深刻度、影響度、および影響範囲を評価します。
• 評価されたリスクに基づき、適切な修正策または軽減策を検討し、実施します。
• 必要に応じて、社内の関係部署、外部パートナー、その他の関係者と連携します。

調査または対応の過程で追加情報が必要となった場合は、詳細を確認するため、報告者へご連絡することがあります。

コミュニケーション

当社は、セキュリティ研究者の皆様との建設的な連携を重視し、調査および対応のプロセスを通じて、報告者へ適切に進捗状況をお知らせします。

確認された脆弱性に関する報告については、調査および対応が完了するまで、原則として少なくとも14日ごとに進捗状況をご連絡します。

報告された問題が脆弱性に該当しないと判断された場合、または本方針の適用範囲外である場合は、その旨を報告者へお知らせします。

調整された脆弱性開示

当社は、責任ある調整された脆弱性開示を推奨しています。

BMTechによる調査および適切な修正策または軽減策の検討・実施が完了するまで、またはBMTechと報告者との間で公表時期について合意するまでは、脆弱性に関する情報を公に開示しないようお願いいたします。

当社は、適切な時期および方法で情報を公表できるよう、報告者と誠実に協議し、調整を行います。

必要に応じて、BMTechは適切なCVE番号採番機関（CVE Numbering Authority：CNA）と連携し、共通脆弱性識別子（CVE）の取得を申請する場合があります。また、報告者またはその他の関係組織と連携して、情報公開や対応時期の調整を行うことがあります。

善意に基づくセキュリティ研究

BMTechは、善意に基づいて提出された脆弱性報告を歓迎します。

以下の条件を満たし、本方針に従って善意で実施されたセキュリティ研究について、当社は原則として、報告者に対して法的措置を講じることを意図しません。

• 脆弱性の特定および報告にあたり、善意をもって行動すること。
• 当社の製品、サービス、システム、業務、またはお客様に対し、不必要な混乱、停止、性能低下、その他の支障を生じさせないこと。
• 脆弱性を確認するために合理的に必要な最小限の範囲を超えて、データへアクセス、取得、複製、変更、削除、または保持しないこと。
• 個人情報、機密情報、または第三者のデータへアクセスした場合は、直ちに調査を中止し、その事実をBMTechへ報告すること。
• 脆弱性を悪意のある目的、金銭的利益、脅迫、または不当な利益を得る目的で利用しないこと。
• BMTechが問題を調査し、対応するための合理的な機会を提供したうえで、情報公開について当社と調整すること。

適用される法令に違反する行為、ソーシャルエンジニアリング、フィッシング、物理的な侵入、サービス妨害攻撃、過度な自動スキャン、またはBMTech、当社のお客様、従業員、もしくは第三者に意図的な損害を与える行為は、本方針による保護の対象外となります。

なお、本方針は、第三者による法的措置を制限または免除するものではなく、法令上認められない行為を許可するものでもありません。

情報の公開

適切と判断した場合、BMTechは、確認された脆弱性に関する情報を、利用可能な軽減策、ソフトウェアアップデート、ファームウェアアップデート、またはその他の推奨対策とあわせて公表することがあります。

報告者の同意が得られた場合、責任ある脆弱性開示を通じて当社製品およびサービスのセキュリティ向上に貢献いただいた個人または組織について、謝辞としてお名前または組織名を掲載することがあります。

当社の製品およびサービスのセキュリティ向上にご協力いただくセキュリティコミュニティの皆様の取り組みに、心より感謝申し上げます。

最終更新日

2026年5月1日