セキュリティポリシーおよび脆弱性開示方針

対象範囲（Scope）

対象となる資産：josforge.com ドメイン配下のWebサイト・システム、およびJOSが自社運営していると公式に公表しているサービス。

対象外の資産：JOSが顧客に納品・提供したシステム、または顧客が運用する環境は本方針の対象外です。顧客環境に対するセキュリティテストは、当該顧客との書面による契約に基づく正式な依頼がある場合にのみ実施されます。

禁止事項（Prohibited Actions）

調査・検証にあたり、以下の行為は固く禁止します。

• サービス妨害（DoS / DDoS攻撃、過剰なリクエスト送信など可用性を損なう行為）
• 他者のデータへのアクセス、閲覧、改変、破壊、または外部への持ち出し
• ソーシャルエンジニアリング（フィッシング、なりすまし等）や物理的な施設への侵入
• スパム送信や自動ツールによる無差別かつ高負荷なスキャン
• 脆弱性の存在を確認するために必要な最小限の範囲を超える操作

報告方法（How to Report）

報告窓口：security@josforge.com

記載事項：対象URLまたは箇所、脆弱性の種類、再現手順、想定される影響範囲、および可能であれば概念実証（PoC）を添えてご連絡ください。

暗号化・機密情報の共有について：現在、公開PGP鍵は提供しておりません。機密性の高い報告については、まず概要のみをメールで送っていただければ、安全な共有手段を個別に案内します。

対応目標（Response Timeline）

受領確認：報告を受け取ってから 3営業日以内 に受領確認をご連絡します。

初期評価：受領から 10営業日以内 に、報告内容の真偽と深刻度の初期判定結果を報告者へご連絡します。

修正対応：修正は深刻度に応じて優先的に行い、適宜進捗を報告します。なお、問題の性質や影響範囲により所要期間が異なるため、修正完了の具体的な期限はあらかじめお約束いたしません。

セーフハーバー（Safe Harbor）

本方針に定められた対象範囲・ルール・禁止事項に誠実に従って行われた調査について、JOSは報告者に対して法的措置を取らず、また不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）等に基づく捜査機関への申告も行いません。ただし、本方針の範囲および禁止事項を逸脱した行為はセーフハーバーの対象外となります。

公開方針（Coordinated Disclosure）

報告された脆弱性に関する情報は、当社の修正対応が完了した後、報告者と合意のうえで公表します。利用者の安全を確保するため、報告者には受領から 90日間 は第三者への公開を控えていただくようお願いいたします。

報奨金・謝辞について（Rewards & Recognition）

現在、金銭的報奨（バグバウンティ）は行っておりません。また常設の謝辞ページ（Hall of Fame）は設けておりませんが、ご希望があれば報告者の貢献を個別に謝辞としてお伝えします。

隔離された検証環境（Isolated Verification Environment）

エクスプロイト再現やマルウェア解析等の検証作業は、顧客の本番環境から論理的に分離され、外向き通信を許可リストで制御・記録したJOS管理の隔離環境上で実施します。

生データの保持期間と削除（Retention & Deletion of Raw Data）

診断・調査の過程で取得した生データ（通信ログ、スクリーンショット、設定ファイル、検体、抽出データ等）は、最終成果物の納品後 30日以内 に復元不可能な方法で完全に削除します。

報告書の保管期間（Retention of Final Reports）

納品した診断報告書（成果物）は、改修後の再テストおよび顧客からの技術的問い合わせに対応するため、契約終了後 1年間 暗号化して保管し、期間満了後に削除します（顧客から早期削除の要請があった場合は速やかに削除します）。

成果物の暗号化受け渡し（Encrypted Delivery）

診断報告書および関連資料の受け渡しは、すべて暗号化された通信経路およびパスワード保護・暗号化処理を施したファイル形式で行います。