脆弱性開示ポリシー

最終更新日: 2025年11月20日

はじめに

GGWP Inc.のミッションは、安全でインクルーシブなゲームコミュニティを育むことです。当社は、コンテンツモデレーションアルゴリズムのセキュリティ、顧客データ、そしてプレイヤーのプライバシーを最大限の真剣さをもって取り扱っています。

当社は、より安全なインターネットの構築においてセキュリティコミュニティが重要な役割を担っていることを認識しています。セキュリティ上の問題の特定と対処にご協力いただくセキュリティ研究者、エシカルハッカー、そしてゲームコミュニティの皆様のご貢献に感謝しています。当社のプラットフォーム、API、またはSDKにセキュリティ上の脆弱性を発見されたと思われる場合は、できるだけ早くお知らせくださいますようお願いいたします。

セーフハーバー(法的保護)

当社は、本ポリシーを遵守していただくことを条件として、セキュリティ調査および脆弱性の開示を、コンピュータ詐欺・不正利用防止法(CFAA)、DMCA、その他適用されるハッキング防止関連法の下で「認可された」行為とみなします。

本ポリシーに対する偶発的かつ善意による違反を理由として、お客様に対する法的措置を開始または支持しないことをお約束します。

ただし、このセーフハーバーは以下の行為には適用されません:

• 身代金要求・恐喝:開示の差し控えまたは脆弱性の修正と引き換えに金銭を要求すること。
• 詐欺:金銭的利益を目的として、脆弱性を利用して当社のシステム、従業員、または顧客を欺くこと。
• データの持ち出し:概念実証(PoC)の実証に厳密に必要な範囲を超えて、意図的にデータにアクセス、ダウンロード、または転送すること。
• 悪意ある行為:当社サービスの完全性または可用性を損なうことを意図したあらゆる活動(例:データの破壊、マルウェアの常駐化)。

対象範囲

対象範囲内の資産

テストは、GGWP Inc.が所有・運営する以下の資産を対象に行っていただくようお願いします:

• ウェブアプリケーション: dashboard.ggwp.com
• APIエンドポイント: api.ggwp.com.
• クライアントSDK: Unity、Unreal向けのGGWP Inc.公式SDK

制限付き資産(要事前許可)

• モデレーションモデルおよびAI:当社のMLモデルに対するモデル反転(Model Inversion)、学習データ抽出、または敵対的攻撃のテストは、事前の書面による同意がない限り固く禁止されています。

対象範囲外の資産

• 顧客のゲーム:当社のサービスを利用するゲームスタジオのビデオゲーム、サーバー、またはインフラに対するテスト、ハッキング、妨害は固く禁止されています。テストは、ゲームクライアント自体ではなく、当社のAPIインターフェースに対して行ってください。
• GGWP Inc.以外のプロバイダーがホストするサードパーティサービス(例:HubSpot、アプリケーション層を侵害しない範囲でサービスの基盤となっているAWSインフラ)。

ガイドラインおよび行動規範

セーフハーバーによる保護を受け続けるには、以下を遵守していただく必要があります:

1. 危害を加えない:当社サービスのパフォーマンスを低下させたり(例:DoS/DDoS)、顧客向けのモデレーション機能を妨害したりしないでください。
2. プライバシー最優先:ご自身のものではないアカウントにあるデータへのアクセス、ダウンロード、または変更は行わないでください。他者のPII(個人を特定できる情報)、チャットログ、または音声録音に遭遇した場合は、直ちに中止し、脆弱性を報告してください。
3. ピボットの禁止:発見した脆弱性を利用して、内部システムや他の顧客環境へ侵入(ピボット)しないでください。
4. 機密保持:当社が問題を修正するための合理的な期間が経過するまで、脆弱性を一般公開したり第三者に開示したりしないでください(詳細は下記の「開示ポリシー」をご覧ください)。

除外事項(対象外の脆弱性)

以下の問題は、重大なセキュリティ上の影響が実証されない限り、原則として対象範囲外とみなされます:

• 当社の従業員または顧客に対するソーシャルエンジニアリング(フィッシング、ビッシング)。
• 当社オフィスに対する物理的なセキュリティ攻撃。
• UI/UXのバグや誤字脱字。
• レート制限の欠如(サービスの可用性に対する重大な脅威を示唆する場合を除く)。
• HTTPセキュリティヘッダーの欠如(具体的な影響が実証される場合を除く)。
• AIへの敵対的入力によって単に「誤った」分類結果が生じるもの(これは品質の問題であり、コード実行やデータ漏えいにつながらない限り、セキュリティ上の脆弱性ではありません)。

脆弱性の報告方法

ご報告は、メールで security@ggwp.com までお送りください。

ご報告には以下の内容を含めてください:

1. 説明:脆弱性の場所と性質。
2. 再現手順:明確な手順の説明、または概念実証(PoC)スクリプト。
3. 影響:脆弱性がどのように悪用され得るか、またどのデータやシステムがリスクにさらされるか。

当社からのお約束

脆弱性をご報告いただいた際、当社は以下をお約束します:

1. 受領確認:ご報告の受領を3営業日以内にご連絡します。
2. レビュー:ご報告をトリアージし、10営業日以内に脆弱性の有効性を確認します。
3. コミュニケーション:対応の進捗状況を随時お知らせします。

修正対応の目標期間

当社は、問題の深刻度に基づいて修正に取り組みます。商業的に合理的な努力を前提として、修正目標を以下のとおり定めています:

開示ポリシー

当社は協調的脆弱性開示(Coordinated Vulnerability Disclosure)を採用しています。調査結果を公開できるのは、以下のいずれかの場合に限られます:

• 脆弱性が修正されたことを当社からお客様に通知した場合。または
• 最初のご報告から90日が経過し、かつ修正の複雑さを理由として当社が期間の延長を要請していない場合。

標準的な開示の例外:

• 開示の前倒し:脆弱性が実際に悪用されている場合(いわゆる「ゼロデイ」)、コミュニティに注意喚起するため、より短い開示スケジュールに合意することがあります。
• 開示の延長:脆弱性が複雑なエコシステムに影響する場合(例:ベンダーによるアップストリームでの修正を必要とするサードパーティの依存関係)、一般公開前により広範なエコシステムに確実にパッチが適用されるよう、90日を超える延長をお願いすることがあります

報奨と謝辞

ゲームエコシステムの安全を守るためにご協力くださるセキュリティ研究者の皆様に深く感謝いたします。ただし、適切なご期待をお持ちいただくため、当社プログラムの性質を明確にしておくことが重要です。

金銭的報酬はありません

本プログラムは現在、脆弱性開示プログラム(VDP)であり、報酬付きのバグバウンティプログラムではありません。現時点では、脆弱性のご報告に対する金銭的な補償や現金報酬は提供しておりません。支払いを期待してご報告を提出したり、脆弱性の詳細を公開する条件として補償を要求したりすることはお控えください。

当社からの感謝

現金による報奨金はご用意できませんが、皆様のご貢献を高く評価しており、有効かつ影響度の高いご報告に対しては、以下の形で謝意を表します:

• 殿堂入り(Hall of Fame):ご本人の許可を得た上で、当社のセキュリティ殿堂にお名前とプロフィールへのリンクを掲載します。
• 職業上の推薦:当社のセキュリティ体制へのご貢献を証明する推薦状またはLinkedInでの推薦を提供する場合があります。
• ノベルティグッズ:例外的なケースにおいて、当社の単独の裁量により、感謝のしるしとして会社のグッズをお送りすることがあります。