株式会社siracusa 脆弱性開示ポリシー（VDP）

第 1 条 目的

株式会社siracusa（以下「当社」）は、当社が提供する各サービス（個別にまたは総称して「当社サービス」といいます。各サービスの名称・内容は会社概要によります）の安全性を向上させるため、善意のセキュリティ研究者による脆弱性の発見と報告を歓迎します。本脆弱性開示ポリシー（Vulnerability Disclosure Policy。以下「本 VDP」）は、お客様および第三者の研究者が当社に対して脆弱性を報告する際のルール、当社の対応目標、研究者の法的保護等を定めるものであり、当社サービスに共通して適用されます。

第 2 条 適用範囲

2.1 対象（In-Scope）

範囲	詳細
当社サービスのプロダクションドメイン	.polastack.com、.peerdesk.jp、*.siracusa.jp
公式 SDK / CLI ライブラリ	npm 配布等の公式 OSS ライブラリ
API エンドポイント	上記ドメインで公開している API
各サービスの管理画面	当社サービスの管理画面（コンソール）

本表のドメインの正本は _company-info.md「ドメイン・サイト」の保有ドメイン注記です。 追加・改名・失効の際は双方を更新してください。

本表に挙げたドメインのみが対象です。 当社が新たにサービスのドメインを公開した場合は、本表に追加したうえで対象とします。当社が保有していないドメインは、当社サービスに関連して見えるものであっても対象外です（当社には調査を許諾する権限がなく、第 3 条のセーフハーバーも及びません）。

2.2 対象外（Out-of-Scope）

範囲	理由
当社のサブプロセッサーが運営する外部サービス	各サブプロセッサーの VDP に従って報告ください
物理的セキュリティ・ソーシャルエンジニアリング	本 VDP の対象外
当社のスタッフ・委託先・パートナーに対する人的攻撃	本 VDP の対象外
他のお客様のテナントデータへのアクセス	厳禁
Beta / Preview 機能	報告は歓迎するが、第 6 条の対応目標の対象外
サードパーティ製品の既知脆弱性（依存ライブラリ等）	既に公開されている情報であり、当社が把握しているため（当社製品固有の悪用経路がある場合は対象）
DoS / DDoS 攻撃	厳禁

第 3 条 セーフハーバー条項（研究者の法的保護）

当社は、本 VDP に従って善意でセキュリティ研究を行う研究者に対し、以下の保護を提供します。

1. 刑事手続をとらないこと: 本 VDP のルールに従った研究行為について、当社は刑事告訴、告発および被害届の提出を行いません。
2. 民事上の請求を行わないこと: 同じく、当社は当該研究行為について民事上の請求（損害賠償請求・差止請求等）を行いません。
3. 当社の許諾があったことの説明: 当該研究行為について捜査機関その他の第三者から当社に照会があった場合、当社は本 VDP に基づく当社の許諾のもとで行われた行為である旨を説明します。ただし当社が許諾しうるのは、当社が管理するシステムおよび当社が発行したアカウントへのアクセスに限られます。他人の識別符号（他のお客様・第三者の認証情報）を無断で用いる行為は、当社の許諾によって適法となるものではありません（第 4 条参照）。
4. 当社サブプロセッサーへの仲介: 研究行為が当社のサブプロセッサーの利用規約に抵触する懸念がある場合、当社は事前に研究者と協議し、可能な範囲でサブプロセッサーへの説明・調整を行います。
5. 報告内容の機密保持: 研究者の同意なく、研究者の氏名・所属を公開しません（法令に基づく開示、または裁判所・規制当局その他の権限ある機関の命令による場合を除きます。第 8.2 条参照）。
6. 報奨: 第 7 条参照

本条の効力の範囲に関する留保: 前各項は、当社が自ら行う措置について定めるものであり、捜査機関、検察官、裁判所その他の第三者の行為を制約するものではありません。不正アクセス行為の禁止等に関する法律に定める罪は親告罪ではないため、当社が刑事告訴を行わない場合においても、捜査機関による捜査および公訴の提起が行われることがあります。また、前各項は、当社以外の者（他のお客様、当社のサブプロセッサーその他の第三者）が自らの権利を行使することを妨げるものではありません。

ただし、以下のいずれかに該当する場合、セーフハーバーは適用されません。

1. 本 VDP のルール（特に第 4 条「調査ルール」）に違反した場合
2. 故意に他のお客様のテナントデータにアクセスした場合
3. 発見した脆弱性を悪用して当社、お客様、第三者に損害を与えた場合
4. 第 8.1 条第 1 号に違反して脆弱性情報を公開した場合（第 8.3 条に定める期間の経過後に行う公表は、これに該当しません）

第 4 条 調査ルール

研究者は、以下のルールを遵守してください。

4.1 許可される行為

1. 自身のテスト用テナント・アカウントを作成し、そのテナント内で脆弱性を検証する行為
2. 公開ドキュメントに基づく API の挙動確認
3. 当社サービスのフロントエンド・公開 API への低負荷のリクエスト
4. 認証情報を伴わない範囲での脆弱性スキャン（高負荷の自動スキャナは避ける）

4.2 厳禁の行為

1. 他のお客様のテナントデータへのアクセス: いかなる手段によっても禁止
2. DoS / DDoS 攻撃、過剰負荷試験
3. ソーシャルエンジニアリング（当社スタッフ・お客様への詐欺メール送信等）
4. 物理的侵入
5. データの破壊・改ざん・削除
6. 検証範囲を超えたデータの保管・外部送信（検証に必要な最小限の範囲を超えて取得したデータは、報告後速やかに削除してください。当社が保持の停止・削除を求めた場合はこれに従ってください）
7. 脆弱性情報の第三者への開示（当社の事前同意なし）

4.3 偶発的アクセス時の対応

研究中に他のお客様の個人データに偶発的にアクセスした場合:

1. 即座にアクセスを中止
2. アクセスしたデータを保存・共有・利用しない
3. 当社に直ちに報告（§ 5 参照）
4. アクセスログを必要に応じて提供

第 5 条 報告方法

5.1 報告窓口

項目	内容
メールアドレス	security@siracusa.jp
PGP 公開鍵	現在提供していません（Bug Bounty Program の開始（§ 7.2）にあわせて提供を検討します）
security.txt	https://siracusa.jp/.well-known/security.txt（各サービスの公式サイトにも順次設置します）

5.2 報告に含めるべき情報

1. 脆弱性の概要（タイトル、簡潔な説明）
2. 影響範囲（影響を受けるエンドポイント、機能、データ）
3. 再現手順（ステップバイステップ）
4. PoC（Proof of Concept）コード・スクリーンショット
5. 想定される攻撃シナリオ・影響度
6. 連絡先・任意で表彰希望
7. 報告者の所属・氏名（匿名も可）

5.3 言語

日本語または英語で受け付けます。

第 6 条 当社の対応目標

以下は当社が達成に努める目標であり、契約上のコミットメントではありません。脆弱性の内容・影響範囲・修正の技術的難易度により、これを超える期間を要する場合があります。

ステップ	目標
受領確認	報告受領から 3 営業日以内
トリアージ・初期評価	報告受領から 10 営業日以内
修正対応	Critical: 14 日以内 / High: 30 日以内 / Medium: 90 日以内 / Low: 計画的対応
修正完了通知	修正完了後 5 営業日以内
公開判断	修正完了後、研究者と協議のうえ Coordinated Disclosure（通常 90 日後）

第 7 条 報奨

7.1 現時点における報奨

現時点において、当社は金銭的報奨を提供しません。代わりに、以下の形で研究者の貢献を称えます。

1. 殿堂入り（第 9 条「Hall of Fame」）への掲載（研究者の同意がある場合）
2. 公式ブログ・お礼メールでの感謝表明

7.2 将来の Bug Bounty Program

Phase 2 以降、HackerOne 等のプラットフォームを利用した正式な Bug Bounty Program の開始を検討しています。検討状況は本ページにて告知します。

第 8 条 公開（Coordinated Disclosure）

8.1 原則

1. 研究者は、脆弱性情報を当社の事前同意なく第三者に公開しないでください。
2. 修正完了後、当社と研究者は協議のうえ、脆弱性情報の公開時期を決定します。通常、修正完了から 90 日後を目安とします。
3. 公開時、研究者の希望に応じて、研究者の氏名・所属・連絡先を明記します（匿名公開も可）。

8.2 当社からの一方的公開

以下の場合、当社は研究者との事前協議なく脆弱性情報を公開することがあります。

1. 法令・規制当局・裁判所の命令による要請
2. 既に第三者により脆弱性が公開・悪用されており、お客様への注意喚起が必要な場合
3. お客様のセキュリティに重大な影響があり、緊急公開が必要な場合

8.3 研究者の権利

研究者は、修正完了から 90 日経過後、当社の同意なく自身の発見を学術論文・カンファレンス発表・ブログ記事として公表することができます。ただし、お客様の個人データ・テナントデータを露出させない範囲とします。

第 9 条 Hall of Fame（殿堂入り）

本 VDP を通じて当社に脆弱性を報告し、当社のセキュリティ改善に貢献いただいた研究者の方々を以下に掲載します（研究者の同意を得たもののみ）。

掲載ページ: 本ページ（https://siracusa.jp/security）の本条

現時点で、掲載対象となる報告はありません。

第 10 条 改定手続

本 VDP は、随時改定されることがあります。重要な改定の場合、本ページ上にて事前告知します。

---