脆弱性開示ポリシー

はじめに

GGWP, Inc.の使命は、安全で誰もが参加しやすいゲームコミュニティを育むことです。当社は、コンテンツモデレーションのアルゴリズムとお客様のデータのセキュリティ、そしてプレイヤーのプライバシーを極めて重視しています。

当社は、より安全なインターネットの実現において、セキュリティコミュニティが重要な役割を果たしていると認識しています。セキュリティ上の問題の特定と対処にご協力いただくセキュリティ研究者、倫理的ハッカー、ゲームコミュニティの皆様の貢献に感謝しています。当社のプラットフォーム、API、SDKにセキュリティ上の脆弱性を発見したと思われる場合は、できるだけ速やかにお知らせください。

セーフハーバー（法的保護）

本ポリシーを遵守していただく限り、当社はセキュリティ研究および脆弱性の開示を、コンピュータ詐欺・不正利用防止法（CFAA）、DMCA、その他の適用される不正アクセス防止法に基づく「許可された」行為とみなします。

当社は、善意での活動中に生じた偶発的な本ポリシー違反について、皆様に対する法的措置を開始したり、支援したりしないことをお約束します。

ただし、このセーフハーバーは以下には適用されません。

• 身代金の要求または恐喝：脆弱性の開示を控えることや修正することと引き換えに、金銭の支払いを要求する行為。
• 詐欺：金銭的利益を得るために、脆弱性を利用して当社のシステム、従業員、お客様を欺く行為。
• データの持ち出し：概念実証に必要な最小限の範囲を超えるデータに、意図的にアクセスしたり、そのデータをダウンロードまたは転送したりする行為。
• 悪意ある行為：当社サービスの完全性や可用性を損なうことを意図したあらゆる活動（データの破壊、マルウェアの永続化など）。

対象範囲

対象となる資産

テストは、GGWP, Inc.が所有・運用する以下の資産を対象に実施してください。

• Webアプリケーション：dashboard.ggwp.com
• APIエンドポイント：api.ggwp.com
• クライアントSDK：GGWP, Inc.公式のUnityおよびUnreal向けSDK

制限付き資産（許可が必要）

• モデレーションモデルとAI：当社の機械学習モデルに対するモデル反転、学習データの抽出、敵対的攻撃のテストは、事前の書面による同意なしには固く禁じられています。

対象外の資産

• お客様のゲーム：当社サービスを利用するゲームスタジオのビデオゲーム、サーバー、インフラストラクチャに対するテスト、ハッキング、妨害行為は固く禁じられています。テストはゲームクライアント自体ではなく、当社のAPIインターフェースに対して実施してください。
• GGWP, Inc.以外のプロバイダーがホストするサードパーティサービス（HubSpotや、アプリケーション層の侵害を伴わない、サービスの基盤となるAWSインフラストラクチャへのテストなど）。

ガイドラインと実施ルール

セーフハーバーによる保護を受けるには、以下を遵守する必要があります。

• 損害を与えない：当社サービスのパフォーマンスを低下させたり（DoS／DDoSなど）、お客様向けのモデレーション機能を妨害したりしないでください。
• プライバシーを最優先する：ご自身が所有していないアカウント内のデータにアクセスしたり、そのデータをダウンロードまたは変更したりしないでください。他者のPII（個人を特定できる情報）、チャットログ、音声録音に遭遇した場合は、直ちに作業を中止し、脆弱性を報告してください。
• 他の環境への侵入拡大の禁止：発見した脆弱性を踏み台にして、内部システムや他のお客様の環境へ侵入しないでください。
• 機密保持：当社が問題を修正するための合理的な期間を確保できるまで、脆弱性を一般公開したり、第三者に開示したりしないでください（詳細は下記の「開示ポリシー」を参照）。

除外事項（対象とならない脆弱性）

以下の問題は、重大なセキュリティ上の影響が実証されない限り、原則として対象外とみなされます。

• 当社の従業員やお客様に対するソーシャルエンジニアリング（フィッシング、音声フィッシング）。
• 当社オフィスの物理的セキュリティに対する攻撃。
• UI／UXのバグや誤字。
• レート制限の欠如（サービスの可用性に深刻な脅威をもたらす場合を除く）。
• HTTPセキュリティヘッダーの欠如（具体的な影響が実証される場合を除く）。
• 単に「誤った」分類を引き起こすAIへの敵対的入力（コード実行やデータ漏えいにつながらない限り、これは品質上の問題であり、セキュリティ上の脆弱性ではありません）。

脆弱性の報告方法

報告には以下の情報を含めてください。

• 説明：脆弱性の所在と性質。
• 再現手順：明確なステップごとの手順、または概念実証（PoC）スクリプト。
• 影響：脆弱性がどのように悪用され得るか、およびどのデータやシステムがリスクにさらされるか。

当社のお約束

脆弱性をご報告いただいた際、当社は以下をお約束します。

• 受領確認：3営業日以内に報告の受領をご連絡します。
• 確認・評価：10営業日以内に報告のトリアージを行い、脆弱性の有効性を確認します。
• 情報共有：対応の進捗状況をお知らせします。

修正までの目標期間

当社は、問題の深刻度に応じた修正に努めます。商業上合理的な努力を前提として、修正目標を以下のとおり定めています。

開示ポリシー

当社は、協調的な脆弱性開示を採用しています。調査結果の公開は、以下のいずれかを満たした後にのみ許可されます。

• 当社が脆弱性の修正完了を通知した場合、または
• 最初の報告から90日が経過し、かつ修正の複雑さを理由とする期間延長を当社が要請していない場合。

標準的な開示ルールの例外

• 開示の前倒し：脆弱性が実際に悪用されている場合（「ゼロデイ」）、コミュニティへの注意喚起のため、開示までの期間短縮に合意することがあります。
• 開示の延期：脆弱性が複雑なエコシステムに影響する場合（ベンダーによる上流での修正を必要とするサードパーティの依存関係など）、公開前にエコシステム全体へのパッチ適用を確実にするため、90日を超える延長をお願いすることがあります。

報奨と貢献への謝意

当社は、ゲームのエコシステムの安全維持にご協力いただくセキュリティ研究者の皆様に深く感謝しています。ただし、期待の相違を避けるため、当社プログラムの性質を明確にしておくことが重要です。

金銭的な報奨はありません

本プログラムは現在、脆弱性開示プログラム（VDP）であり、報奨金付きのバグバウンティプログラムではありません。現時点では、脆弱性の報告に対する金銭的な補償や現金報奨は提供していません。支払いを期待して報告を提出したり、脆弱性の詳細を開示する条件として報酬を要求したりしないでください。

感謝の気持ちとして

現金による報奨は提供できませんが、皆様の貢献を大切にしています。有効かつ影響度の高い報告については、感謝のしるしとして以下をご提供します。

• 殿堂への掲載：ご本人の許可を得たうえで、当社のセキュリティ貢献者の殿堂にお名前とプロフィールへのリンクを掲載します。