オムロンは、お客様の安全、安心のため、自社の製品およびサービスに関する脆弱性(情報セキュリティ上の欠陥)を広く収集し、適切に対応しています。社外からご報告いただく脆弱性については、本ポリシーに沿って対応します。

適用範囲

本ポリシーは、オムロンがお客様に提供する製品およびサービスに適用されます。

脆弱性に関する報告窓口

脆弱性を発見された場合は、以下の窓口からオムロンPSIRT（Product Security Incident Response Team）へご連絡ください。
(連絡フォームはTLSによって暗号化されています。)
報告者からご提供いただいた情報は適切に保護し、脆弱性対応以外の目的には使用しません。

オムロン脆弱性窓口：https://www.omron.co.jp/contact/ContactForm.do?FID=00280
報告の際には、以下の情報をご提供ください。
- 問題を確認した製品／サービス名（例：名称・形式/型番）
- 対象バージョン
- 脆弱性の内容

報告者とのコミュニケーション

連絡フォームからの脆弱性に関する情報の受信を確認後、受信日を起点として当社カレンダー^(※)の5営業日以内に、受領した旨を電子メールで報告者にご連絡します。
※ 年末年始、5月上旬、8月中旬、9月下旬は、まとまった休業期間になる場合があります。

連絡フォームからご連絡いただいた後の報告者とのコミュニケーションは電子メールで行います。機微情報の送信を希望される場合は、PGP暗号化メールでの送信方法をご案内します。
追加情報の依頼や進捗のご連絡など、問題が解決されるまでの間、適切なタイミングで継続的に報告者へご連絡します。
なお、オムロンから報告者へお送りする内容（回答内容等）は、著作権法をはじめとする法令により保護されています。これらの内容について、当社の許可なく転載・公開・二次利用することはご遠慮ください。

脆弱性情報の公開方針

公開タイミング

セキュリティアドバイザリを公開する場合は、Coordinated Vulnerability Disclosure（協調的脆弱性開示）の原則に基づき、脆弱性への対策（セキュリティパッチ、回避策等）が準備でき次第、報告者をはじめとする関係者と公開日を調整のうえ、公開します。また、公開と同時にJPCERT/CC(Japan Computer Emergency Response Team Coordination Center)および必要に応じ海外のCERT機関へ脆弱性の届出を実施します。

公開内容

公開するアドバイザリには、以下を含みます。
- 脆弱性概要
- 影響を受ける製品/サービス（名称・形式/型番・バージョン等）
- 影響内容
- CVE ID^(※)
- 脆弱性の深刻度
- 修正済みバージョン情報、または回避策/軽減策
- 公開日および更新日
※ オムロンはCVE(Common Vulnerabilities and Exposures) ProgramにおけるCNA(CVE Numbering Authority, CVE採番機関)に
　認定されており、自社の製品およびサービスの脆弱性に対して自らCVE IDを採番することができます。

公開場所

オムロングループのウェブサイトやJVN(Japan Vulnerability Notes)などを通じて公開します。

謝辞

脆弱性の発見または解決に貢献いただいた方については、ご同意いただいたうえで、オムロングループのウェブサイト上の対象のアドバイザリに謝辞を掲載します。
複数の方から当社が同一と判断する脆弱性をご連絡いただいた場合は、最初の報告者に対して謝辞を掲載します。

脆弱性開示ポリシー