脆弱性開示ポリシー

I. はじめに

爲恒智能科技股份有限公司（以下、「WHES」または「当社」といいます。）は、当社製品の安全性およびセキュリティの確保に取り組んでおります。
当社製品に脆弱性が発見された場合、当社はこれを適切に調査し、是正措置を講じるとともに、必要に応じて関連情報を公表いたします。
本ポリシーは、当社製品に存在する可能性のあるセキュリティ脆弱性を報告いただく際の手続き、および確認された脆弱性に関してお客様その他の関係者へ通知する際の当社の方針について定めるものです。

II. 脆弱性対応プロセス

WHESは、脆弱性管理に関する基本方針および考え方を明確化するため、以下の原則に基づき脆弱性の対応および開示を実施します。

1. 初期調査

潜在的な脆弱性の存在を特定するための調査を実施します。

2. 根本原因分析

当該脆弱性の根本原因を分析・特定します。

3. 追加調査

同種の脆弱性が他の製品またはサービスにも存在しないか確認します。

4. 優先度評価

影響を受ける製品またはオンラインサービスごとに、同一の問題であっても深刻度が異なる可能性があるため、それぞれについて優先度を評価します。

5. 脆弱性の分類および取り扱い

脆弱性の内容に応じ、以下のように分類される場合があります。

再現不能な脆弱性
既知の重複不具合（既に本プロセスにより対応済みまたは修正済みの問題）
サポート終了製品に存在する欠陥
セキュリティ上の影響がない、または既知の技術では悪用不可能な不具合
第三者コード、設定または仕様に起因する問題であり、当社が直接的な責任を負わない脆弱性

6. 脆弱性修正方針の策定

対応方針の決定
以下のいずれかの方法により、脆弱性への対応方針を決定します。

脆弱性を完全に解消する
悪用による影響を軽減する
攻撃対象範囲を縮小する

修正パッチの作成
脆弱性に対処するため、パッチ、修正版、アップグレード、ドキュメント改訂または設定変更を作成します。

7. 修正内容の検証

脆弱性がサポート対象のすべてのプラットフォームで適切に解消されていることを確認するため、必要な試験を実施します。

8. 修正の配布

オンラインサービスの場合
本番環境の更新展開手順または設定変更手順に従って対応を実施します。

製品の場合
パッチ適用等、利用者側で必要な対策手順を提供します。

9. 案件管理（

修正公開後も、必要に応じて追加対応や改善を継続します。

10. セキュア開発ライフサイクルへのフィードバック

根本原因分析により得られた知見を開発プロセスへ反映し、新規または更新製品・サービスにおいて類似の脆弱性が再発しないよう改善を行います。

11. 継続的モニタリング

オンラインサービスについては、修正適用後も安定性および安全性を継続的に監視します。
また、パッチ公開後の監視を通じて、影響を受ける利用者への適切な情報提供に努めます。

III. 脆弱性の報告方法

当社製品にセキュリティ上の脆弱性が存在する可能性を確認された場合は、以下のメールアドレスまでご連絡ください。
service@whes.com
報告内容は専門担当者により確認され、必要に応じて追加の調査や連絡を行います。
当社は、原則として、

2営業日以内に受領確認
7営業日以内に初期回答

を行うよう努めます。
脆弱性報告には、該当ユーザーの明示的な同意を得ていない個人情報を含めないでください。
やむを得ず個人情報を提供する必要がある場合には、事前に適切な暗号化および保護措置を講じてください。
当社の要求または同意なく送信された個人情報について、当社は一切責任を負いません。

IV. セキュリティアドバイザリ

当社製品に関するセキュリティアドバイザリは、当社ウェブサイト内の「Information」カテゴリーに掲載されます。
一般的には、実用的な回避策または修正プログラムが提供可能になった時点で公表を行います。
第三者（セキュリティ研究者など）から脆弱性に関する報告を受けた場合、当社は調査を行い、必要に応じて当該第三者との協調開示（Coordinated Disclosure）を実施することがあります。
秘密保持契約（NDA）の下で報告を受領した場合でも、当社はセキュリティ修正の提供に努めますが、脆弱性に関する公表情報は限定される場合があります。
当社は、原則として報告受領から90日以内の問題解決を目指します。
ただし、第三者への影響がある場合や協調対応が必要な場合には、追加の対応期間を要することがあります。

V. 深刻度および影響評価

WHESは、脆弱性の深刻度および潜在的影響を評価するにあたり、業界標準である Common Vulnerability Scoring System（CVSS）の最新版に準拠します。
セキュリティアドバイザリには通常、

影響を受けるWHES製品
修正方法または回避策
修正版の入手方法

を記載します。
可能な限り、影響を受けるすべてのバージョンを明示します。
状況によっては、

特定の日付以前にリリースされたバージョン
特定の期間にリリースされたバージョン

といった表現を用いる場合があります。
より詳細な情報が必要な場合は、
service@whes.com
までお問い合わせください。

VI. 脆弱性対応状況の共有

WHESは、報告者との協力関係を重視し、受領した脆弱性報告について、修正措置が完了するまで適切な範囲で進捗状況を継続的に共有するよう努めます。
脆弱性報告を受領した後、当社は以下の対応を実施します。

（1）受領確認

原則として2営業日以内に、報告の受領を確認する通知を行います。

（2）初期評価結果の通知

原則として7営業日以内に、以下の事項について報告者へ通知します。

報告内容の受理可否
調査開始状況
必要に応じた追加情報の依頼
想定される影響範囲の初期評価

（3）対応状況の定期共有

脆弱性が有効であると確認された場合、当社は合理的な範囲で以下の情報を報告者へ共有するよう努めます。

調査進捗状況
影響評価結果
修正方針の決定状況
修正プログラム開発状況
リリース予定時期（確定している場合）

ただし、システムの安全性確保その他の正当な理由により、開示できない情報が含まれる場合があります。

（4）修正完了通知

修正措置または緩和策の提供後、当社は可能な範囲で報告者へ通知を行います。

（5）協調開示

当社は、利用者保護および社会全体の安全性向上の観点から、報告者と協議のうえ、適切な時期に脆弱性情報を公表する場合があります。

VII. 免責事項

WHESは、本ウェブサイトおよび本ポリシーに掲載する情報について正確性の確保に努めていますが、その完全性、正確性、有用性または最新性について、いかなる保証も行うものではありません。

利用者が本ウェブサイト、本ポリシーまたは掲載情報を利用したこと、または利用できなかったことにより生じた直接的または間接的な損害について、WHESは法令上認められる範囲において一切責任を負いません。
また、以下の事項についても責任を負わないものとします。

当社は、本ウェブサイトのURL、構成、内容その他の情報について、事前の通知なく変更、修正または削除する場合があります。
当社は、本ポリシーその他掲載情報について、事前の通知なく改定または廃止する場合があります。
当社は、本ウェブサイトの継続的な利用可能性、無停止運営、エラーの不存在、またはウイルスその他有害なプログラムが存在しないことを保証するものではありません。
通信障害、システム障害、保守作業その他の事由により、本ウェブサイトまたは関連サービスの全部または一部が遅延、中断または停止した場合であっても、当社はそれに起因して生じた損害について責任を負いません。
報告者が提出した脆弱性情報に含まれる第三者の個人情報、営業秘密その他機密情報について、提出者が適法な権限を有していなかった場合、当社はその責任を負いません。
当社は、脆弱性報告に対して必ずしも修正プログラムの提供、情報公開、または報告者の提案する対応を実施する義務を負うものではありません。
当社は、脆弱性の調査および対応について合理的な努力を行いますが、特定の期限内に解決することを保証するものではありません。

VIII. 謝辞

適用可能な場合には、本人の同意を得たうえで、脆弱性の発見者または報告者に対して謝辞を表するとともに、当社製品の安全性向上への貢献に感謝を表明します。

IX. お問い合わせ

営業窓口
info@whes.com

サービス窓口
service@whes.com

電話番号
+86 400-877-6999

所在地
中国江蘇省無錫市恵山区洛社鎮
爲恒智能科技股份有限公司（Weiheng Intelligent Technology Co., Ltd.）