脆弱性情報の取り扱いに関する基本方針
（脆弱性対応窓口）

対象範囲

本方針の対象は、当社が開発・販売・運用する以下の製品およびサービスです。

• HEMS機器（ミルエコminiおよびそのファームウェア、アプリケーション）
• HEMSクラウドサービス（EcoFanサービス・ユーザー画面・API）

他社製品や、当社が運用しない第三者のサービスは対象外です。

受付窓口

脆弱性に関する情報は、当社サポート窓口にて受け付けます。お問い合わせの際は、お問い合わせ種別で「セキュリティ報告」を選択してください。

• 受付窓口: 当社サポート窓口（お問い合わせページ）
• お問い合わせ種別: 「セキュリティ報告」
• 受付時間: 平日 11:00〜17:00（土日祝日・年末年始・夏季休業・GWなどの当社休業日を除く）

調査を円滑に進めるため、可能な範囲で以下の情報をご記載ください。

1. 対象の製品名・サービス名、およびバージョン（ファームウェアバージョン等）
2. 脆弱性の概要と、想定される影響
3. 再現手順（確認に使用した環境、設定、操作の順序）
4. 証跡（画面キャプチャ、ログ、通信内容など。ある場合）
5. 報告者のご連絡先（お名前またはハンドル名、メールアドレス）
6. 他の機関（IPA、JPCERT/CC 等）へ同じ内容を報告済みかどうか

匿名でのご報告も受け付けますが、その場合は調査結果や対応状況をお知らせできないことがあります。

報告後の対応

ご報告をいただいた後、当社は次の手順で対応します。

1. 受領時のご連絡: ご報告を受領した旨を、受領日を除く5営業日以内にご連絡します。
2. 調査・評価: 報告内容を確認し、脆弱性の有無、影響範囲、深刻度を評価します。
3. 対策の実施: 必要に応じて修正の検討・対応、設定変更、回避策の案内などの対策を講じます。
4. 報告者へのご連絡: 調査結果および対応状況を、報告者へ電子メールにてご連絡します。対応に時間を要する場合は、途中経過をお知らせします。
5. お客様への周知: 対策の公開にあたり、必要に応じて当社Webサイトやお客様への連絡により、影響と対処方法をお知らせします。

対策の完了までに要する期間は、脆弱性の内容や影響範囲によって異なります。

報告者様へのお願いと禁止事項

脆弱性の解消を安全に進めるため、ご報告にあたっては以下の点にご協力お願いします。

• 当社が対策を完了し公開するまで、脆弱性の内容を第三者に開示・公表しないでください。
• 脆弱性の検証は、ご自身が正当に利用できる機器・アカウントの範囲で行ってください。他のお客様の機器、データ、アカウントへアクセスする行為はおやめください。
• 脆弱性の検証に際して、サービスの停止や妨害、性能低下を招く行為（大量のアクセス、DoS 等）、データの改ざん・削除、マルウェアの設置、その他の破壊、分解などを行わないでください。
• 検証の過程で当社や第三者の情報を取得した場合は、速やかに削除し、保存・利用・開示しないでください。
• 脆弱性の修正や報奨金を条件とした要求はお控えください。当社は現在、報奨金制度（バグバウンティ）を設けていません。

ご報告いただいた情報は、脆弱性の調査・対応および再発防止の目的にのみ使用し、報告者の同意なく氏名等を公表することはありません。

当社の対応姿勢

• 本方針および法令に従い、善意で脆弱性をご報告いただいた方に対して、当社から法的措置を講じることはありません。
• 報告者の個人情報は、当社の個人情報保護方針に基づき適切に取り扱います。
• 当社は、脆弱性情報の取り扱いにあたり、必要に応じて IPA および JPCERT/CC 等の関係機関と連携します。
• 本方針は、法令の改正や制度の変更、当社の運用状況に応じて、予告なく改定することがあります。改定後の方針は当社WEBサイトへの掲載をもって効力を生じます。