脆弱性報告ポリシー (Coordinated Vulnerability Disclosure Policy)
最終更新日：2026-8-24
株式会社フジクラは、当社製品およびサービスのサイバーセキュリティ向上のため、誠実な（good faith）脆弱性報告を受け付けております。当社製品又はサービスに脆弱性を発見された方は、本ポリシーに従ってご報告ください。
対象範囲
本ポリシーの対象は、以下の当社製品及び当社提供のサービスです。
- 光ファイバ融着接続機、融着接続機関連工具、IDテスタ
- 光ファイバ融着接続機／関連工具用PCアプリ及びスマートフォンアプリ
- 融着接続機関連クラウドサービス及び当社が提供する関連Webサービス
第三者製ソフトウェア、第三者運営サービス、当社がサポート終了と定めた製品※は対象外です。
※サポート終了製品については対策提供を保証しませんが、脆弱性報告は受け付けます。
報告方法
脆弱性を発見された場合は、以下へご連絡ください。
Email:
security_splicer@jp.fujikura.com
PGP公開鍵:
下記の「PGP公開鍵ダウンロードはこちら」ボタンからダウンロードください。
Fingerprint:
B06C DFAF 5C0B CE36 F817
7C3F 7936 5F38 3330 8144
可能な限り暗号化通信によるご連絡を推奨します。
報告時には以下の情報をご提供ください。
- 製品名
- ソフトウェアバージョン（確認可能な場合）
- 脆弱性の概要（脆弱性により発生する影響を含む）
- 再現手順
可能であれば以下の情報も併せてご提供ください。
- 発見者氏名（ハンドルネーム可）
- 連絡先メールアドレス
- 脆弱性発見時期
- 攻撃条件
- 想定される影響
- 検証コード（PoC）がある場合はその内容
- その他関連情報
個人情報をご提供いただく際には、事前に「個人情報の取り扱いについて｜株式会社フジクラ」をご確認ください。
ご提供いただいた個人情報は、脆弱性対応その他正当な業務遂行のために利用します。また、法令上必要な場合又は脆弱性対応に必要な範囲において、委託先、認証機関、脆弱性管理機関、各国当局へ提供する場合があります。
添付ファイルの形式は、pdf, txt, log, png, jpg, jpeg, csv, json, xml, yaml, zip, pcap, pcapng でお願いします。また、zipファイル中には、exe、dll、msi、bat、cmd、ps1等の実行可能ファイルを含めないようにお願いします。
これら添付ファイルにつきましても、可能な限りpgp, gpg, asc形式に暗号化して添付をお願いします。また、暗号化したファイルは、ファイル名から、元ファイルの形式が分かるようにしてください（例： report.pdf → report.pdf.asc）。
当社の対応
報告者様への受領確認は原則3営業日以内に行います。（連絡先をご提供頂いた場合）
当社は、報告された脆弱性情報を記録・管理し、脆弱性管理プロセスに従って評価及び対応を行います。連絡先をご提供いただいている場合、これらの過程において、報告者様には可能な範囲で進捗状況をご連絡します。また、当社から確認を行いたい事項があれば、報告者様にご質問させていただく場合があります。当社から提供する調査結果や回答内容には機密情報が含まれる場合があります。公表を予定される場合は、事前に当社へご相談ください。
欧州CRA(Cyber Resilience Act)への対応：
欧州CRAへの対応として、当社は、実際に悪用されている脆弱性（actively exploited vulnerability）又は製品のセキュリティに重大な影響を与えるインシデント（severe incident）を認知した場合、適用法令に基づき所定の期限内に、ENISAその他適用法令に基づき指定される関係機関へ報告を行います。当社が法令上又は規制上必要と判断した場合、脆弱性に関する情報の全部又は一部を、ENISA、CSIRTその他の関係当局へ提供することがあります。個人情報については適用法令に従い取り扱います。
脆弱性情報の取扱い
当社は脆弱性修正前に詳細な脆弱性情報が公開されることを推奨しません。
当社は協調的な脆弱性開示（Coordinated Vulnerability Disclosure）を推進しており、修正版若しくは緩和策の公開、又は当社と報告者との間で協議した合理的な期間の経過まで、脆弱性情報の公開をお控えいただくようお願いします。
当社は必要に応じて以下を公開します。
- Security Advisory
- 修正版リリース情報
- CVE番号
- 回避策
当社は必要に応じてCVE採番機関と連携し、脆弱性識別子（CVE）を取得する場合があります。
報告者様への謝辞掲載の可否につきましては、個別にご相談いたします。なお、本ポリシーに基づく脆弱性報告に対する報奨制度は設けておりません。
Safe Harbor（調査・研究活動の保護）
本ポリシーに従って行われた誠実なセキュリティに係る調査・研究活動については、その目的又は態様が違法又は不当である場合を除き、当社は当該活動を許可された行為として取り扱い、報告者に対して法的措置を取ることはありません。本ポリシーに従って行われた行為に関して、第三者から報告者様に対して法的措置が取られた場合、当社は、報告者様の行為が本ポリシーに従って行われたことを周知させるための合理的な措置を講じます。
正当な調査・研究目的での脆弱性の確認に必要な最小限の検証は許容されますが、調査・研究においては、以下を行わないようにお願いします。
- 当社又は当社の顧客・取引先に損害を与えるようなシステムやアプリケーションの不正利用
- 当社の財産（インフラ、施設、データセンタ等）に対する物理的な攻撃
- 個人情報や機密情報の取得・保持・公開
- ソーシャルエンジニアリング（フィッシング、ビッシング、スミッシングなど）その他の非技術的な脆弱性のテスト
- DoS攻撃などサービスに負荷を与える行為、サービス停止を引き起こす負荷試験
- 他者アカウントの利用、顧客環境への侵入、データ改ざん
- ランサムウェア、マルウェア等の不法プログラムの実行
- その他違法行為
脆弱性報告に関連して、当社のお客様・取引先・従業員等の個人情報又は当社若しくは当社の顧客・取引先等の第三者の営業秘密に関する情報を取得した場合には、直ちに当該情報（ログ等を含みますが、これに限りません）を、報告者様の利用する全てのシステム及びデバイス上から削除くださいますようお願いいたします。