製品セキュリティおよび脆弱性開示ポリシー（VDP）

本ポリシーは、当社がエネルギーマネージメントシステムの一環として提供・設置し、当社が運用・保守する以下の製品に適用されます。本製品は一般消費者向けに単体で販売するものではなく、当社の管理下にある保護されたネットワーク環境（インターネットから隔離された環境）において、当社の保守員・エンジニア等の担当者が運用します。

• 当社のIoT製品（ゲートウェイ、EMS関連機器等）

• 上記製品と一体で提供する必須付随サービス（クラウド／O&Mサービス）

ただし、次の場合は本ポリシーの対象外となります。

• 当社の許可なく第三者が加えた改変・設定変更等に起因する事象

• サポート期間が終了した製品（EOL製品）。本製品のサポート期間は、当社とお客様との間のO&M契約（またはアセットマネジメント契約）の有効期間中とし、契約終了をもってサポート期間の終了といたします。EOL製品については、調査・対策を行わない場合があります。

ご報告いただいた脆弱性情報は、当社のセキュリティ対応チームが責任をもって、以下の流れで対応します。

• 受領確認：ご報告の受領後、原則として3営業日（※1）以内に、受領した旨をご報告者様へ通知します。

• 調査・トリアージ：受領後、原則として14日（※1）以内に、対象製品・サービスへの影響を調査（トリアージ）し、その結果と今後の対応方針をご報告者様へ通知します。必要に応じて追加情報の提供をお願いする場合があります。

• 継続的な状況更新：修正パッチの開発や回避策（ワークアラウンド）が必要と判断した場合、脆弱性が解決（修正版の配信完了等）するまでの間、原則として30日ごと（※1）に対応状況をご報告者様へお知らせします。

当社製品・サービスの脆弱性であることが確認され、対策の準備が整った場合、お客様および関係者が状況を把握できるよう、以下の方法で情報を公表します。

• 当社ウェブサイトのセキュリティ情報ページにて、脆弱性の概要、影響範囲、対策方法（修正版・回避策）等を公表します。

• 公表のタイミングは、ご報告者様および関係者と調整のうえ決定します。

脆弱性の調査・報告にあたっては、次の事項を遵守してください。なお、本ポリシーは、当社または第三者の製品、システムもしくはネットワークへのアクセス、調査またはテストを許可するものではありません。本ポリシーに従って誠実に行われた脆弱性の調査・報告について、当社はこれを善意によるものとみなし、当該行為に対して法的措置を講じることはありません。

調査・報告にあたっては、次の事項を遵守してくださいますようお願いいたします。

• 稼働中のインフラ（O&M提供中のシステム）に対するサービス妨害（DoS）攻撃や、データの破壊・改ざんを伴う破壊的なテストを行わないこと

• 当社が脆弱性の修正およびお客様への対応を完了するまでの間、当社との事前の調整なく、発見した脆弱性情報をSNS・ブログ等で公表しないこと

• 第三者の情報・データへのアクセスもしくは取得、プライバシーの侵害その他第三者の権利・利益を侵害する行為を行わないこと

当社は、本ポリシーを予告なく改定することがあります。最新の内容は本ページにてご確認ください。

※1　「営業日」には、土曜・日曜・祝日および当社の休業日（年末年始、ゴールデンウィーク、夏季休業等）は含みません。記載の期間はいずれも目安であり、脆弱性の内容や調査状況により前後する場合があります。

制定日：〔2026年9月1日〕　　最終改定日：〔2026年9月1日〕