脆弱性公開ポリシー

三菱電機エンジニアリング（以下、「当社」といいます。）は、製品のセキュリティーを確保し、サイバー攻撃からお客様を守るために、製品の脆弱性に関する情報を以下のプロセスで公開いたします。

脆弱性に関する情報の入手

当社製品の脆弱性に関する情報は、調整機関（国内外のCERT^*1など）へご連絡いただくか、三菱電機製品脆弱性受付窓口へご連絡ください。
*1 Computer Emergency Response Team

三菱電機製品脆弱性受付窓口（連絡フォーム）

連絡フォームからの脆弱性に関する情報の受信を確認後、受信日を起点として5営業日以内に、受領した旨をご報告者様にご連絡いたします。年末年始休暇、ゴールデンウィーク、夏季休暇等の期間中はご連絡が暫く遅れますこと、ご容赦願います。

連絡フォームはSSL/TLSによって暗号化されております。連絡フォームからご連絡いただいた後のご報告者様とのコミュニケーションは電子メールにて行います。電子メール及び添付ファイルに未公開の脆弱性に関する機微な情報を含む場合は、情報の第三者への意図せぬ開示を防ぐため、PGP公開鍵をご利用いただき、メールの暗号化にご協力いただけますようお願いいたします。なお、PGP公開鍵は、連絡フォームからご連絡いただいた方に別途通知いたします。

調査及び対策

ご連絡いただいた製品の脆弱性に関する情報は、当該製品の設計・開発部門にて確認を行い、以下の3点が確認された場合には、新規の脆弱性であると判断し、確認後速やかにご報告者様に確認結果をご連絡いたします。なお、確認にあたり、必要に応じて追加の情報提供をお願いする場合があります。

・製品のセキュリティーに影響のある問題であること
・再現性があること
・未公開であること

新規の脆弱性であることが確認された場合は、対策の実施と情報公開の準備を行います。新規の脆弱性ではないことが確認された場合は、ご報告者様との合意のうえ、対応を終了いたします。

セキュリティアドバイザリの公開

当社製品の新規の脆弱性であることが確認された場合は、お客様が適切な対策を講じることを可能とするために、情報の公開準備が整い次第、ご報告者様をはじめとする関係者様と公開日を調整のうえ、以下の当社ウェブサイトにてセキュリティアドバイザリを公開いたします。

当社製品・サービスの脆弱性に関する情報

当社製品の脆弱性の発見または解決に貢献いただいた方に対しては、謝辞の掲載に同意いただいたうえで、対象のセキュリティアドバイザリに謝辞を掲載いたします。同一の脆弱性について、複数の個人・団体からご連絡いただいた場合は、最初のご報告者様に対して謝辞を掲載いたします。