脆弱性管理と報告窓口

当社は、情報システムにおける脆弱性の把握・評価・対応の手順を定め、外部からの攻撃による被害の防止に努めています。本ページは脆弱性管理規程のうち公開可能な範囲を要約したものです。

脆弱性情報の収集

システム運用責任者が、次の情報源を継続的に確認しています。

• JVN / JPCERT/CC / IPA の脆弱性情報
• 利用する言語・フレームワーク・ライブラリの公式セキュリティアドバイザリ
• 依存パッケージの自動検査、およびバージョン管理サービスの依存関係アラート
• 利用するクラウド事業者のセキュリティ告知

依存パッケージの脆弱性アラートは週1回以上確認し、セキュリティ修正を含む更新は変更管理の手続に従って速やかに適用しています。

脆弱性診断

インターネット等の外部と通信可能なシステムについて、年1回以上、次の診断を実施しています。

• プラットフォーム診断 — 公開ポート、TLS設定、セキュリティヘッダ、認証基盤の設定
• アプリケーション診断 — OWASP Top 10 に相当する項目（認証・認可の不備、インジェクション、アクセス制御の欠落、機密情報の露出、設定不備 等）

大きな機能追加、認証・決済に関わる変更、インフラ構成の変更を行った場合は、年次診断とは別に該当範囲の診断を実施します。診断結果と是正状況は3年間保管します。

構成上の補足

当社のシステムはサーバーレス実行環境およびマネージドサービス上で稼働しており、当社が管理するOS・ミドルウェア・ネットワーク機器を保有していません。したがってプラットフォーム診断の対象は、当社が設定可能な範囲（公開エンドポイント、TLS/HTTPヘッダ、認証・ストレージのアクセス制御ルール、WAF設定）となります。基盤自体の脆弱性対応は各クラウド事業者の責任範囲であり、外部委託先の管理に基づき年1回以上その体制を確認しています。

評価と対応期限

検出した脆弱性は、CVSS 基本値および当社システムへの影響度により区分し、次の期限で対応します。

期限内に恒久対策が困難な場合は、暫定対策（WAFルールの追加、該当機能の停止、アクセス制限）を講じたうえで対応計画を記録します。対応後は再診断または動作確認により修正が有効であることを検証し、脆弱性管理台帳に記録します。

脆弱性報告の受付

当社のサービスに関する脆弱性をお気づきの方は、下記の窓口までご連絡ください。

• 連絡先: mail@nexsjp.com
• 件名に「脆弱性報告」とご記載ください
• 受領から5営業日以内に一次回答を差し上げます

ご報告にあたっては、実際の攻撃・データの取得・サービスへの負荷を伴う検証はお控えいただき、確認された事象と再現手順のみをお知らせください。ご報告いただいた内容は、当社の脆弱性管理の手順に従って評価・対応いたします。