⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

脆弱性情報開示ポリシー

第1部: 書式本文

第1条(目的) 本ポリシーは、〇〇〇〇(以下「当社」という。)が提供する製品又はサービス(以下「本製品等」という。)に関する脆弱性情報の受付、調整及び公表の手順を定め、報告者と当社が協力して脆弱性を安全に解消できる環境を整備することを目的とする。

第2条(適用範囲) 本ポリシーは、本製品等に含まれるソフトウェア、ファームウェア及び関連するクラウドサービスの脆弱性に関する報告に適用する。当社が第三者から提供を受けたライブラリ等に起因する脆弱性については、当該第三者への取次ぎにとどまる場合がある旨を第9条に定める。

第3条(受付窓口) 当社は、脆弱性情報の受付窓口として電子メールアドレス〇〇〇〇を設置し、報告者に対し、機微な技術情報を送付する際は当社が別途公開する暗号鍵を用いた暗号化を推奨する。

第4条(受領確認) 当社は、報告を受領した日から〇営業日以内に、報告者に対し受領した旨を通知する。通知には、当社側の担当窓口及び今後の連絡方法を含める。

第5条(トリアージと重大度評価) 当社は、受領した報告について、CVSS等の共通の評価基準を参考に重大度を評価し、その結果を〇営業日を目安に報告者へ共有するよう努める。

第6条(非公開期間) 当社は、報告のあった脆弱性について、修正版の提供又は回避策の周知が完了するまでの間、原則として〇日間(以下「非公開期間」という。)を目途に、報告者に対し内容の非公開を要請する。非公開期間は、脆弱性の深刻度及び修正の技術的難易度に応じて当社と報告者が協議のうえ延長又は短縮することができる。

第7条(早期警戒パートナーシップに基づく連携) 当社は、届出受理機関である情報処理推進機構(IPA)及び調整機関であるJPCERTコーディネーションセンターが運営する早期警戒パートナーシップを通じて報告が取り次がれた場合、当該枠組みの手順に従い、JPCERT/CCとの連絡及びJVN(Japan Vulnerability Notes)における脆弱性対策情報ポータルへの掲載に向けた調整を行う。

第8条(セーフハーバー) 当社は、報告者が本ポリシーに定める手順(第9条の禁止行為を除く)に従って善意で行った検証及び報告行為について、当社に対する不正アクセス行為の禁止等に関する法律その他の関連法令に基づく刑事告訴又は民事上の請求を行わない方針とする。ただし、本条は第三者による請求を制約するものではない。

第9条(禁止行為) 報告者は、検証にあたり、本人又は検証環境の利用者以外の第三者が保有するデータへのアクセス、システムの可用性を損なう行為、及び本人の同意なき個人情報の取得を行ってはならない。

第10条(公表方針) 当社は、修正提供後、当該脆弱性の概要、影響範囲及び対策について、当社ウェブサイト又はJVNを通じて公表する。公表にあたり、報告者の氏名又は名称の記載を希望するか匿名を希望するかについて、事前に報告者の意向を確認する。

第11条(謝辞・報奨) 当社は、報奨金制度を設ける場合、その対象範囲、支払条件及び金額の目安を別紙に定める。報奨金制度を設けない場合は、その旨を明記し、公表時の謝辞への記載をもって代える。

第12条(準拠法及び管轄) 本ポリシーに関して生じた紛争は、日本法を準拠法とし、〇〇地方裁判所を第一審の専属的合意管轄裁判所とする。

第2部: 立場別・場面別の書き換えパターン

A. 製品提供者向けの修正

A-1. 複数製品ラインを扱う場合の窓口分岐

修正後:「当社は、製品カテゴリごとに受付窓口を分岐させ、ハードウェア製品については〇〇〇〇、クラウドサービスについては〇〇〇〇を受付窓口とする。」 一言解説: 事業部が分かれる企業では、トリアージの初動を早めるため製品ラインごとに窓口を分けると実務が回りやすい。

A-2. SaaS型サービスにおける非公開期間の短縮

修正後:「本サービスがマルチテナント方式で提供されるクラウドサービスである場合、当社は修正版を全テナントに一括適用できることを踏まえ、非公開期間を原則〇日間とする。」 一言解説: 顧客側での個別アップデート作業が不要なSaaSでは、オンプレミス製品より短い非公開期間を設定できることが多い。

B. 報告者向けの修正

B-1. セーフハーバーの適用範囲の明確化

修正後:「本ポリシーに定める手順を逸脱しない限り、報告者による自動化ツールを用いたスキャンについても第8条のセーフハーバーの対象に含まれるものとする。」 一言解説: 報告者側としては、手動検証に限定されるのか自動スキャンも保護対象かをあらかじめ明示させることで、報告をためらう要因を減らせる。

B-2. 報告後の進捗開示請求権の追加

追加条文例:「報告者は、報告から〇日経過しても進捗の共有がない場合、当社に対し状況の照会を行うことができ、当社は合理的な期間内に回答する。」 一言解説: 報告者が音沙汰のない状態に置かれることを防ぎ、独自公表(フルディスクロージャー)に踏み切るリスクを下げる修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、自社製品又はサービスについて外部の研究者・利用者から脆弱性の指摘を受け付ける窓口を常設し、対外的に手順を公表する場面で用いる。他方、社内の情報システム部門が自社内システムのみを対象とする内部監査手順を定める場合や、委託先に対するセキュリティ監査基準を定める場合には、本書式ではなく別途の内部規程を用いるべきである。

根拠法令 検証行為との関係では、不正アクセス行為の禁止等に関する法律第3条が、アクセス制御機能により制限されているコンピュータへの無権限アクセスを禁止しており、報告者が許可なく本番環境に侵入して検証を行えば同法に抵触しうる。本ポリシーが定めるセーフハーバーは、あくまで当社が自ら請求を行わない方針を示すものであり、同法に基づく捜査機関の判断や第三者からの請求を法的に免除するものではない点に留意が必要である。また、脆弱性情報に個人情報が付随して発見された場合は、個人情報の保護に関する法律第23条の安全管理措置及び同法第26条の漏えい等報告義務との関係を別途検討する必要がある。公表にあたっては、著作権法上の引用のルールに従い、報告者が作成した検証コードや資料を転載する場合は事前の許諾を得ることが望ましい。

実務でよくある失敗と対策 第一に、非公開期間を定めずに公表方針が曖昧なまま運用し、報告者が独自にSNS等で先行公表してしまい、修正前に脆弱性が広く知られる失敗がある。第6条のように非公開期間の目安と延長協議の枠組みを明記することが対策となる。第二に、受付窓口が平文の問い合わせフォームのみで、機微な検証コードや再現手順が暗号化されずに送受信され、途中で第三者に閲覧されるリスクを放置する失敗がある。第3条のように暗号鍵の利用を案内することが対策となる。第三に、セーフハーバー条項を設けないまま公開の受付窓口だけを設置し、報告者が不正アクセス行為の禁止等に関する法律への抵触を懸念して報告そのものを断念してしまう失敗がある。第8条のように保護範囲と限界を明記することが対策となる。

非公開期間の長さや報奨金制度の要否は業界慣行や製品特性によって異なるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 受付窓口の連絡先と暗号化手段を明記したか
• [ ] 受領確認までの目安期間を定めたか
• [ ] トリアージ・重大度評価の基準を定めたか
• [ ] 非公開期間の長さと延長協議の条件を定めたか
• [ ] 早期警戒パートナーシップ・JVNとの連携手順を確認したか
• [ ] セーフハーバーの適用範囲と限界を明記したか
• [ ] 禁止行為(第三者データへのアクセス等)を具体的に列挙したか
• [ ] 公表方針(公表媒体・報告者の氏名記載可否)を定めたか
• [ ] 報奨金制度の有無及び内容を確認したか
• [ ] 不正アクセス禁止法及び個人情報保護法との関係を確認したか
• [ ] 準拠法・管轄裁判所を定めたか