協調的脆弱性開示（CVD）ポリシー

当社は製品セキュリティ対応体制のもと、脆弱性の受付、評価、対応および情報公開を行います。本ポリシーは、当社が提供する製品に関する脆弱性報告に適用します。

個別製品のサポート対象範囲、サポート期間、セキュリティアップデートの提供条件等については、各製品のサポート情報または当社が別途公表する情報に従います。CRAの対象となる製品については、適用される法令上の要求事項に従いサポート期間を決定・公表するとともに、当該要求事項に従いセキュリティアップデートを提供します。

なお、当社が提供していない第三者製品単体に関する脆弱性、製品のセキュリティに影響しない一般的な不具合、品質問題、仕様確認、通常の問い合わせ等は、本ポリシーの対象外となる場合があります。

受領通知の送付

調査・対応の進捗に応じた継続的な連絡

検証結果または対応方針の共有

対応結果の連絡、および謝意の表明

アドバイザリの公開：
必要に応じて、脆弱性に関するアドバイザリを公開します。
アドバイザリには、脆弱性の概要、影響を受ける製品、対処方法および関連情報を記載します。

関係機関との連携：
脆弱性の内容に応じて、当該コンポーネントの提供元やJPCERT/CC等の適切な関係機関へ適時連絡または共有を行う場合があります。また、法令に基づき、必要に応じて国内外の所管官庁等へ通知する場合があります。国内外の所管官庁への通知が適用法令上義務付けられる場合には、所定の期限内に、所定の報告経路を通じて通知を行います。特に、CRAの対象となるデジタル要素を有する製品については、CRA第14条に従い、積極的に悪用されている脆弱性及び当該製品のセキュリティに影響を及ぼす重大インシデントについて、単一報告プラットフォームを通じ、適用される法定期限内に、早期警告、詳細通知及び最終報告を行います。

ご提供いただきたい情報：可能な範囲で、対象製品（製品名、型番、バージョン等）、発見された事象、再現方法および関連情報のご提供いただきますようお願いいたします。

報告後の対応：受付後、当社からご連絡いたしますので、メールおよび電話での連絡を受け付けていただきますよう、設定をお願いいたします。

脆弱性報告を受領後、原則として７日以内を目安に受領通知を行います。

夏季・年末年始等、当社休業日の関係や、ご連絡いただきました内容によって、当社からの受領通知の送付までに時間がかかる場合がございます。

なお、本受領通知までの期間は、適用法令上求められるより短い社内エスカレーション、評価、利用者への通知又は規制当局への報告に関する期限に影響を及ぼすものではありません。

個人情報保護方針について：
ご提出いただいた脆弱性情報および個人情報は、「富士電機株式会社個人情報保護方針 | 富士電機」に従い取扱います。

報告者へのお願い：
当社および関係者との調整が完了するまで、脆弱性情報を第三者へ公開しないようお願いいたします。また、脆弱性の確認にあたっては、当社または第三者に損害を与えないようご協力をお願いいたします。

善意の報告者の取扱い：
当社は、本ポリシーに従い、善意で行われた脆弱性報告については、当該報告行為のみを理由として直ちに法的措置を講じる意図はありません。

当社は、法令・標準・脅威動向・技術の変化に応じ、本ポリシーを適宜見直します