無料トライアル
ヘルプ / ポリシーと法務

脆弱性開示ポリシー

脆弱性の報告方法、調査を許可する範囲、報告者への対応方針です。

UNCHAIN株式会社は、Pulseの安全性の向上にご協力いただく研究者の皆さまを歓迎します。本ポリシーは、脆弱性を調査していただける範囲、UNCHAIN株式会社があらかじめ承諾を与える行為の内容、報告の方法、および報告を受けた後のUNCHAIN株式会社の対応を定めるものです。

このポリシーの法的な組み立て

日本の不正アクセス行為の禁止等に関する法律は、アクセス制御機能による制限を免れて保護された領域に到達する行為を禁じています。同法は、その定義において「アクセス管理者の承諾を得てするもの」を除外しています。本ポリシーは、単に法的措置をとらないと宣言するものではなく、Pulseのアクセス管理者であるUNCHAIN株式会社が、一定の範囲と条件のもとであらかじめ承諾を与える文書として構成しています。

法令不正アクセス禁止法 第2条第4項（定義）

不正アクセス行為は、①他人の識別符号を入力して制限されている利用をし得る状態にさせる行為、②識別符号以外の情報または指令を入力してアクセス制御機能による制限を免れ、制限されている利用をし得る状態にさせる行為、③他の電子計算機のアクセス制御機能により制限されている利用について同様の行為、と定義されています。いずれについても、「当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者……の承諾を得てするものを除く」とされています。本ポリシーによる承諾は、この除外規定に対応するものです。

法令不正アクセス禁止法 第3条（不正アクセス行為の禁止）／第11条（罰則）

何人も、不正アクセス行為をしてはならないと定められており、違反した場合は3年以下の拘禁刑または100万円以下の罰金が科されます。本ポリシーの範囲を超える調査は、この規定に触れるおそれがあります。

第1条（目的）

  1. 本ポリシーは、Pulseに関する脆弱性の発見および報告について、UNCHAIN株式会社が承諾する調査の範囲と条件、報告の方法、ならびにUNCHAIN株式会社の対応方針を定めることを目的とする。
  2. 本ポリシーは、利用規約第12条第11号、アプリケーション利用規約第3条第3項第2号およびAPI・プラットフォーム利用規約の定めに優先して、本ポリシーの範囲内で行われる調査を許容する。
  3. 著作権その他の権利の侵害に関するお申出は、本ポリシーの対象ではない。手続は著作権侵害の申立てに定めるところによる。

第2条（承諾を与える主体）

  1. 本ポリシーによる承諾を与えるのは、Pulseに係る設備およびサービスのアクセス管理者であるUNCHAIN株式会社である。
  2. UNCHAIN株式会社は、UNCHAIN株式会社が管理する設備およびサービスについてのみ承諾を与えることができる。第三者が管理する設備およびサービス、ならびに他の利用者が権利を有する情報については、UNCHAIN株式会社は承諾を与える立場にない。

第3条（調査を許可する範囲）

  1. UNCHAIN株式会社は、次の各号に掲げる資産について、本ポリシーに定める条件に従って行われる調査を承諾する。
  2. the-unchain.comおよびUNCHAIN株式会社がPulseのために運用するサブドメインのウェブアプリケーション
  3. PulseのAPIエンドポイント
  4. Pulseのデスクトップアプリ（macOS版およびWindows版）
  5. Pulseが提供するブラウザ拡張機能
  6. 前項の資産の範囲は、UNCHAIN株式会社が本ページにおいて随時更新する。対象に含まれるかどうかが明らかでない場合は、調査を開始する前にtharada@the-unchain.com宛に照会するものとする。
対象資産の記載について

第3条第1項各号に掲げたドメイン、アプリおよび拡張機能の範囲は、UNCHAIN株式会社が実際に運用している資産の一覧に置き換えてください。対象を明示しないまま「当社のサービス全般」と記載すると、承諾の範囲が不明確になり、本ポリシーの法的な意味が弱まります。

第4条（承諾の対象に含まれない行為）

次の各号に掲げる行為は、本ポリシーによる承諾の対象に含まれない。これらの行為については、UNCHAIN株式会社は承諾を与えておらず、法令上の責任が生じることがある。

  1. 第三者が提供するサービス（クラウド基盤、認証基盤、決済、問合せ管理、分析、エラー監視等）に対する調査
  2. 自己が権限を有しない他の利用者のアカウントへのログインまたはログインの試行
  3. 他の利用者のノート、文字起こしその他の情報への到達、取得、閲覧または保存
  4. データの破壊、改変、暗号化または削除
  5. サービス妨害（DoS・DDoS）を伴う試験、および本番環境に対する高負荷の試験
  6. 大量の自動化されたスキャンであって、本番環境の可用性に影響を与えるもの
  7. UNCHAIN株式会社の役職員、委託先または利用者を対象とするソーシャルエンジニアリング、フィッシングおよびこれらの試行
  8. UNCHAIN株式会社または委託先の物理的施設への立入りおよびその試行
  9. マルウェアの設置、バックドアの設置その他の永続的な足がかりの作成
  10. 発見した脆弱性を利用して、調査の目的を超えて権限を拡大する行為
  11. 取得した情報を第三者に提供し、または公開する行為
法令刑法 第234条の2（電子計算機損壊等業務妨害）／民法 第709条（不法行為による損害賠償）

電子計算機に不正な指令を与えるなどして業務を妨害する行為は、刑法により処罰の対象となります。また、他人の権利または法律上保護される利益を侵害した場合は、民法により損害賠償の責任を負います。負荷試験や他の利用者のデータへの到達は、これらの規定に触れるおそれがあります。

法令不正アクセス禁止法 第4条・第5条・第6条（識別符号の不正取得／助長／不正保管の禁止）

他人の識別符号を不正に取得する行為、第三者に提供する行為、および不正に保管する行為が禁止されています。調査の過程で他の利用者の認証情報に到達した場合は、これを取得・保存せず、直ちに調査を中止して報告してください。

第5条（承諾の意思表示および条件）

  1. UNCHAIN株式会社は、次の各号のすべての条件を満たして行われる第3条の資産に対する調査について、不正アクセス行為の禁止等に関する法律第2条第4項にいうアクセス管理者として、あらかじめ承諾を与える。
  2. 調査に用いるアカウントを、報告者自身が正当に開設したテスト用のアカウントに限ること
  3. 第4条各号に掲げる行為を行わないこと
  4. 脆弱性の存在を確認するために必要最小限の操作にとどめ、確認できた時点で速やかに調査を中止すること
  5. 調査の過程で他の利用者の情報に到達した場合、その内容を閲覧、保存、複製または利用せず、直ちに調査を中止してUNCHAIN株式会社に報告すること
  6. 発見した脆弱性を、第8条に定める手続に従ってUNCHAIN株式会社に報告すること
  7. 第9条に定める公表の調整に従うこと
  8. 前項の条件を満たして行われた調査について、UNCHAIN株式会社は、当該報告者に対して法的措置を講じない。
  9. 第三者から当該調査について照会を受けた場合、UNCHAIN株式会社は、当該行為がUNCHAIN株式会社の承諾に基づくものであった旨を説明する。

第6条（承諾の限界）

  1. 本ポリシーによる承諾は、UNCHAIN株式会社が管理する設備およびサービスに関するものに限られる。
  2. 本ポリシーは、他の利用者のプライバシーその他の第三者の権利について承諾を与えるものではない。
  3. 本ポリシーは、刑事手続における捜査機関および裁判所の判断を拘束するものではない。
  4. 報告者が第5条第1項の条件を逸脱した場合、当該逸脱した行為については承諾が及ばない。

第7条（報告の前に確認していただきたい事項）

  1. 既に本ヘルプセンターで公表済みの事象、および一般に知られている設定上の推奨事項の指摘は、原則として新規の報告として取り扱わない。
  2. 実際の影響を伴わない設定値の指摘（メールの認証設定、セキュリティヘッダの有無、バージョン情報の露出等）のみの報告については、対応の優先度を下げることがある。
  3. 自動診断ツールの出力をそのまま送付する報告については、再現手順の提示を求めることがある。

第8条（報告の方法）

  1. 脆弱性の報告は、tharada@the-unchain.com宛の電子メールにより行うものとする。
  2. 報告には、可能な範囲で次の事項を記載するものとする。
  3. 対象となる資産（URL、エンドポイント、アプリの種別およびバージョン）
  4. 脆弱性の種類および概要
  5. 再現手順（スクリーンショット、リクエストとレスポンスの記録、概念実証のコードを含む）
  6. 想定される影響
  7. 調査を行った日時および使用したアカウント
  8. 報告者の氏名または呼称、および連絡先
  9. 報告に個人情報その他の秘密情報が含まれる場合は、必要最小限の範囲で記載し、その旨を明示するものとする。
  10. 報告は、日本語または英語で行うことができる。

第9条（公表の調整）

  1. 報告者は、UNCHAIN株式会社が修正を完了するまでの間、報告の内容を第三者に開示しないものとする。
  2. 前項の期間は、報告の受領から90日を上限とする。90日を超えて修正が完了しない場合、UNCHAIN株式会社は報告者と公表の時期について協議する。
  3. 報告者が報告の内容を公表する場合、UNCHAIN株式会社は、事前に内容を確認させていただくことを希望する。他の利用者の情報を推知させる記載が含まれないようにするためである。
  4. UNCHAIN株式会社は、利用者への影響が確認された事象について、経緯と対応を公表することがある。公表は、概要、発生原因、対応、影響範囲、再発防止策、謝辞および参考情報の順で記載する形式による。公表の例は報告: デスクトップアプリの画面遷移の脆弱性を参照。

第10条（報告者への対応）

  1. UNCHAIN株式会社は、報告を受領した場合、原則として3営業日以内に受領の確認を返信する。
  2. UNCHAIN株式会社は、受領後、再現性および影響範囲を調査し、その結果を報告者に通知する。
  3. UNCHAIN株式会社は、修正の方針および見込み時期について、可能な範囲で報告者と共有する。
  4. UNCHAIN株式会社は、修正が完了した時点で報告者に連絡し、修正内容の確認を依頼することがある。
  5. 報告者の希望に応じて、UNCHAIN株式会社は、公表資料において報告者の氏名または呼称を謝辞として記載する。氏名の記載を希望されない場合は、その旨をご連絡ください。
対応期限の数値について

第10条第1項の営業日数および第9条第2項の90日という期間は、一般的な運用例として記載しています。UNCHAIN株式会社のセキュリティ対応体制に合わせて確定してください。実際に守れない期限を掲げると、かえって報告者との関係を損ないます。

第11条（報奨金）

報奨金の有無について

脆弱性報告に対する報奨金（バグバウンティ）を支払うかどうか、支払う場合の金額の基準、対象となる脆弱性の等級、および支払の条件は、UNCHAIN株式会社の方針に従って記載してください。制度を設けていない段階では「本ポリシーに基づく報告に対する報奨金の制度は設けていません」と明記し、将来設ける予定がある場合はその旨を記載する運用が一般的です。報奨金の有無は本ポリシーの法的な効力とは関係がなく、報奨金がないことを理由に第5条の承諾が制限されるものではありません。

第12条（公的な届出制度の利用）

  1. 報告者は、UNCHAIN株式会社への報告に代えて、またはUNCHAIN株式会社への報告とあわせて、独立行政法人情報処理推進機構（IPA）が受付を行う「情報セキュリティ早期警戒パートナーシップ」を通じて届け出ることができる。
  2. 同制度は、「ソフトウエア等の脆弱性関連情報に関する取扱規程」（経済産業省告示）に基づく官民の枠組みであり、IPAが届出を受け付け、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が調整を行う。
  3. UNCHAIN株式会社は、同制度を通じて調整の依頼を受けた場合、同ガイドラインに沿った対応に努める。
公的制度の位置づけ

情報セキュリティ早期警戒パートナーシップは法律そのものではなく、告示に基づく官民の推奨枠組みです。IPAは、届出を受けた事業者に対して、秘匿、対策または修正を強制するものではないことを明示しています。日本国内で脆弱性を発見された場合の一般的な届出経路として、UNCHAIN株式会社への直接の報告とあわせてご検討ください。

第13条（本ポリシーの変更）

  1. UNCHAIN株式会社は、本ポリシーの内容を変更することがある。
  2. 変更を行った場合、UNCHAIN株式会社は、本ページに変更後の内容と効力発生日を掲載する。
  3. 調査の適法性は、当該調査が行われた時点で有効な本ポリシーの内容によって判断される。

附則

  1. 本ポリシーは、お問い合わせくださいから施行する。
  2. 報告の窓口: tharada@the-unchain.com
  3. その他の問合せ: tharada@the-unchain.com

関連記事

← 利用規約ログインとカレンダー接続 →
最終更新：2026年9月14日