Ｓｋｙ脆弱性報奨金制度規約（Sky Bug Bounty Program）
Ｓｋｙ脆弱性報奨金制度規約（以下「本規約」といいます）は、Ｓｋｙ株式会社（以下「Ｓｋｙ」といいます）の主催するＳｋｙ脆弱性報奨金制度（以下「本制度」といいます）への参加条件を規定したものです。本制度に基づいて脆弱性を調査または報告（以下「参加」といいます）する者（以下「報告者」といいます）は本規約に同意したものとみなします。
第 1 条 Ｓｋｙ脆弱性報奨金制度
1.

本制度は、報告者が、本制度の対象となるＳｋｙが提供する製品・サービス・Web サイト（うち、本制度の対象となる製品・サービス・Web サイトを、以下「対象製品等」といいます）に存在するプログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥（いわゆる脆弱性または攻撃手法を含み、以下単に「脆弱性」といいます）を、本規約に定める方法によりＳｋｙに報告し、Ｓｋｙが有用な報告であると判断した場合、謝礼としてＳｋｙが決定した金額の報酬（以下「報奨金」といいます）として報告者にお支払いするものです。

2.

対象製品等は、本制度の Web サイトに記載します。なお、対象製品等は予告なく変更する場合があります。

3.

Ｓｋｙは、各種法令ならびに贈答、倫理および寄付に関する規定およびガイドライン等の報奨金の支払いに関係するすべての法令等を遵守し、本規約に沿って、報奨金を提供します。

第 2 条 本規約または本制度の変更
1.

Ｓｋｙは、法令に違反しない範囲内で、Ｓｋｙの判断により、本規約または本制度の内容の全部または一部を変更できるものとします。

2.

Ｓｋｙは、本規約または本制度の内容を変更する場合、当該変更の効力発生日を定め、当該効力発生日より前に当該変更後の本規約または本制度の内容および当該変更の効力発生日を、本制度に係る Web サイトに掲出し周知するものとします。

3.

報告者は、前項に定める変更の効力発生日以後に本制度に参加する場合および変更の効力発生日以前から本制度に参加していた場合であって、変更の効力発生日後も継続して本制度に参加する場合には、当該変更後の本規約または本制度の内容に同意したものとみなします。
なお、第 8 条に規定する脆弱性報告情報（第 4 条第 3 項に定義します）の審査期間中に本規約が変更される場合は、その旨をＳｋｙから報告者に連絡します。

第 3 条 参加資格
1.

本制度への参加資格は、次のすべての基準を満たす方にのみ与えられます。
①

適用法令に基づき、居住地において成年その他単独で法律行為を行うことができる権限を有する者であること。未成年または単独で法律行為を行うことができない者である場合、本制度に参加する前に保護者または法定後見人の許可を得ていること。
②

個人として本制度に参加すること。なお、組織（企業を含みます。以下同じ）に所属する者が本制度に参加する場合、当該所属する組織の各種規程（就業規則を含みますが、これに限りません。以下同じ）に違反しないことを自己の責任において確認した上で参加すること（また、必要に応じて、自己の所属する組織の許諾を得た上で参加すること。本制度への参加が、所属する組織の各種規程に違反したとしても、Ｓｋｙは一切の責任を負いません）。

2.

本制度に参加しようとする者が国または地方公共団体の職員その他法令により公務に従事する議員、委員その他の職員（以下「公務員等」といいます）の場合、前項に加え、以下の基準も満たす方にのみ参加資格が与えられます。
①

Ｓｋｙから報告者が所属する公的機関に対して報奨金を支払うことが可能であることを、本制度に参加する前に、自身の所属する公的機関に確認していること（なお、報奨金の受け取りに際しては、当該公的機関内において決裁権限を有する者によるＳｋｙの指定する書面への署名が必要となります。このような報奨金の受け取り手続についても対応可能であることを事前に確認した上で、本制度に参加すること）。ただし、Ｓｋｙから報告者が所属する公的機関に対して報奨金を支払うことができない場合であって、報奨金が支払われないことを報告者が承諾する場
合は、かかる公的機関への確認は不要となります。

②

所属する公的機関の倫理規程を遵守するとともに、当該公的機関の担当責任者（倫理規程の内容を管轄し、公務員等の行動を管理監督する責任を負う者をいいます。
以下同じ）に対し、本制度に参加することについて説明し、当該担当責任者から許諾を受けていること（疑義を避けるために付言すると、前号ただし書の場合であっても、当該担当責任者からの許諾を受けること）。

3.

次のいずれかに当てはまるとＳｋｙが認めた方は、本制度に参加することができません。
① 居住地において未成年とみなされる方。ただし、その保護者または法定後見人の許可を事前に得た場合にはその限りではありません。
② 適用ある法律により、本制度に参加することが認められていない方。
③ 報告時において、日本または米国その他の国や地域の制裁（米国財務省外国資産管理局による制裁または日本の外国為替および外国貿易法等に基づく制裁を含みますが、これに限られません）を受けている国の居住者、団体の関係者または個人その他各種法令ならびに贈答、倫理および寄付に関する規定およびガイドライン等に基づきＳｋｙによる報奨金提供が認められない方、またはその居住者に本制度のような取り組みへの参加を認めていない国の居住者の方。
④ 報告時において、所属する組織の各種規程で本制度への参加が認められていない

方。
⑤ 報告時および本制度に沿って報告を行った日以前 6 か月以内（ただし、同一または類似の脆弱性についての報告を複数回行った場合には、最初に報告を行った日以
前 6 か月以内）において、報告者、報告者の近親者（配偶者、子、父母、兄弟姉妹）、または世帯員がＳｋｙまたは子会社もしくは関連会社（株式会社エッグを含む。以下「グループ会社」といいます）の従業員である方。
⑥ 報告時および本制度に沿って報告を行った日以前 6 か月以内（ただし、同一または類似の脆弱性についての報告を複数回行った場合には、最初に報告を行った日以
前 6 か月以内）において、報告者、報告者の近親者（配偶者、子、父母、兄弟姉妹）、または世帯員がＳｋｙまたはグループ会社の業務に従事されていた方（例：Ｓｋｙまたはグループ会社に常駐していた方、Ｓｋｙまたはグループ会社が企画・開発・制作する製品等およびＳｋｙの Web サイトに関連した業務遂行を目的とした業務委託契約、派遣契約、出向契約等によりＳｋｙまたはグループ会社の業務に従事していた方）。
⑦ 本制度の対象製品等に関わる企画・開発・制作業務、もしくは管理・運用・保守業務に従事している、または従事していた方。
⑧ 暴力団、暴力団員、暴力団準構成員その他これらに準ずる者（以下「反社会的勢力」といいます）または反社会的勢力と密接な関係を有する者（以下あわせて「反社会的勢力等」といいます）。本制度の利用開始後に報告者が反社会的勢力等であることが判明した場合は、本制度への参加資格を停止いたします。
第 4 条 参加方法
1.

本制度の報告は、日本語または英語で行うこととします。日本語または英語以外の言語による報告は受けつけません。

2.

本制度への参加申し込みは、専用の Web フォーム（以下「本制度専用フォーム」といいます）から行うことができます。なお、Ｓｋｙから報告者に対する連絡は、本制度専用フォームに入力されたメールアドレスへの Web メールにより行います。報告者は、本制度専用フォームにＳｋｙとのやりとりが可能なメールアドレスを記載してください。

3.

報告者は、対象製品等に関する脆弱性を発見または特定した場合、当該脆弱性に関する情報（以下「脆弱性報告情報」といいます）を、本制度専用フォームより、Ｓｋｙが定める手順に従って報告および提出してください。

4.

脆弱性報告情報として、次の情報は可能な限り詳しく記載してください。
① 問題の種類（バッファオーバーフロー、SQL インジェクション、クロスサイトスクリプティング等）② 脆弱性を含む対象製品等の名称およびバージョン、または URL（オンラインサービスの場合）

③ 問題の再現に必要となった特別な構成④ 新規インストールで問題を再現するための段階的な手順⑤ 概念実証コードまたはエクスプロイトコード⑥ 問題の影響（攻撃者がどのように脆弱性を悪用するのか等）
5.

Ｓｋｙに脆弱性報告情報を報告する際は、「Ｓｋｙ脆弱性報奨金制度ルールブック」に従ってください。

6.

報告者が提出した脆弱性報告情報がＳｋｙに到達しない場合、Ｓｋｙは、当該脆弱性報告情報は提出されなかったものとみなします。Ｓｋｙは脆弱性報告情報が到達しないことについて、理由のいかんを問わず、一切の責任を負いません。脆弱性報告情報の提出後にＳｋｙから 7 営業日以内に確認メールが送られない場合は、Ｓｋｙに当該脆弱性報告情報が届いていない可能性がありますので、本制度専用フォームよりお問い合わせください。

第 5 条 知的財産権等
1.

報告者は、脆弱性報告情報に係る著作権、商標権、意匠権、特許権、実用新案権、ノウハウ、その他の権利（以下「知的財産権等」といいます）を、Ｓｋｙに譲渡することとします。また、Ｓｋｙが以下の行為をすることを認めるとともに、脆弱性報告情報の著作者人格権を行使しないものとします。
① 脆弱性報告情報の使用、レビュー、評価、テスト、および解析② 脆弱性報告情報とそのすべてのコンテンツの全体または一部の複製、改変、頒布、表示、公開③ 本制度または他のプログラムのマーケティング、販売、またはプロモーションに関連し、すべてのメディア（既存メディア、または後日に開発される可能性のあるメディア）への脆弱性報告情報とそのすべてのコンテンツの紹介（社内外での販売会議、会議プレゼンテーション、展示会、およびプレスリリースでの脆弱性報告情報のスクリーンショット等）

2.

報告者は、脆弱性報告情報が他者または他の団体に所有権のある情報を使用していないこと、および脆弱性報告情報をＳｋｙへ提供する法的権利を持つことを表明し、保証します。

第 6 条 報告者による脆弱性報告情報の公表等
1.

報告者は、Ｓｋｙが事前に承諾した場合を除き、脆弱性報告情報および検証調査を実施した際に知り得た挙動に関する一切の情報について第三者に対して公表、開示、提供、または漏洩することが禁止されます。Ｓｋｙが事前に承諾した場合であっても、Ｓｋｙ脆弱性報奨金制度ルールブックの定めに従ってのみ公表、開示、または提供が許されます。

2.

Ｓｋｙは、報告者が前項に違反した場合、当該違反をした時点以降の当該報告者の本制度への参加を拒絶することができ、また当該違反に係る脆弱性報告情報に対して報告者に支払われた報奨金の返還を求めることができます。
第 7 条 脆弱性調査検証時の注意事項
1.

本制度に関連する調査検証は、オンプレミス環境またはクラウドサービス環境のいずれにおいても、報告者が正規に利用できる環境において行われなければなりません。

2.

報告者が正規に利用できる環境がない場合には、報告者は、報告の時点で判明している範囲で本制度に沿った報告を行うことができます。報告者が、報告に際して、Ｓｋｙによる検証環境用の提供を希望する旨を記載した場合、Ｓｋｙは、検証環境用の提供について検討した上で、報告者に対し、必要に応じて無償で調査検証環境を提供し、当該検証環境を利用した追加報告を依頼する場合があります。

3.

報告者は、クラウドサービス環境において、正規に利用できる環境で調査検証を行う場合であっても、環境に著しい負荷を与える調査検証や環境に負荷を与えることを目的とした調査検証を行うことはできません。

4.

報告者は、本人の書面による事前の同意がない限り、他人の個人情報にアクセスしてはなりません。報告者は、他人の個人情報にアクセスしてしまった場合、ただちに（i）当該アクセス行為を中止し、（ii）アクセスした個人情報のコンピューター等に残るデータをすべて削除し、（iii）Ｓｋｙに対し、当該アクセス行為の方法、アクセスした個人情報の内容等を報告しなければなりません。

第 8 条 脆弱性報告情報の審査
1.

Ｓｋｙは、脆弱性報告情報がＳｋｙに提出された後、すみやかに脆弱性報告情報を審査し、「Ｓｋｙ脆弱性報奨金制度ルールブック」に記載のルールに基づき、独自の裁量でその報奨金支払いに関する適格性を検証します。審査に要する時間は、脆弱性報告情報の複雑度、完全性、およびＳｋｙが受領した脆弱性報告情報の数により異なります。

2.

同一の脆弱性について複数の報告者から脆弱性報告情報がＳｋｙに送られてきた場合、Ｓｋｙに到達した最初の当該脆弱性に関する脆弱性報告情報を報告した報告者に対してのみ、報奨金が支払われます。

3.

類似の脆弱性についての脆弱性報告情報の報告を受けた場合、Ｓｋｙが同一の脆弱性に関すると判断するもの（同一のライブラリに起因する脆弱性である場合を含みますが、これに限りません。以下同じ）については、同一の脆弱性とみなします。

4.

報告者は、概念実証コードまたはエクスプロイトコードを含めずに脆弱性を報告した場合であっても、次条に規定する報奨金を部分的に受け取ることができる場合があります。

第 9 条 報奨金
1.

報奨金に関する事項（支払うか否かの判断および金額の決定を含みますが、これらに限りません）は、すべて、Ｓｋｙがこれを決定するものとします。報奨金の額は、脆弱性報告情報の内容および詳細度合等に応じ、第 10 条の定めに基づいて決定されます。な
お、報奨金を支払わないことをＳｋｙが決定した場合、報奨金は支払われません。
2.

Ｓｋｙが報告者から同一の脆弱性に関して当該報告者が調査した結果のすべての脆弱性報告情報を受け取り、受領の連絡を行った時点で対応プロセス完了とし、その日を完了日とします。その後、Ｓｋｙから当該報奨金の金額を当該報告者に通知し、支払い手続に関する連絡を行います。

3.

報告者は、報奨金の受け取りを辞退する旨をＳｋｙに通知することにより、報奨金の受け取りを辞退することができます。

4.

第 2 項に定める連絡をＳｋｙから受けた報告者は、当該連絡を受けた後、30 日以内に必要事項をＳｋｙに提出する必要があります。

5.

報告者は、支払い手続に関する必要事項の記入に不備がある場合、または前項に定める期限内に支払い手続に関する必要事項を提出しない場合、報奨金の支払いを受けることができません。

6.

報告者は、報奨金の受領人として、報告者以外の第三者を指定することはできません。
ただし、次の場合にはこの限りではありません。
① 第 3 条第 2 項の定めに従い、Ｓｋｙが当該報告者が所属する公的機関に支払う場
合② 第 3 条第 3 項第 1 号ただし書きの規定により本制度への参加資格を満たした報告者が、保護者または法定後見人に報奨金の受領を代理させる場合。この場合、当該保護者または法定後見人自身が、支払い手続を行う必要が生じることがあります③ Ｓｋｙが報告者以外の第三者に支払うことに同意した場合。なお、当該第三者が法人である場合は、当該法人からＳｋｙに対し請求書を発行する必要があります7.

報告者は、報奨金を受け取る場合、報奨金の受領に伴うすべての納税義務を負います。

8.

報奨金の支払い方法は、Ｓｋｙから報告者指定の銀行口座への現金振り込みのみとします。なお、法令等に従い源泉徴収が必要となる場合には、源泉徴収の上、報奨金を支払うものとします。

9.

Ｓｋｙが報告者から受領した情報を基に適切に送金手続きを行ったにもかかわらず報告者が全部または一部の報奨金を受領できなかった場合には、Ｓｋｙの報奨金支払い義務は消滅するものとします。

10. Ｓｋｙは、送金に要する日数の問い合わせを一切受けつけません。報告者は、その指定口座が海外にある場合、通常の報奨金の受け取りよりも送金に時間を要する場合があることを承諾するものとします。
11. 報告者が同一の脆弱性（Ｓｋｙが同一の脆弱性に関すると判断するものを含みます）につき報奨金を受領できる回数は 1 回とします。ただし、異なる脆弱性を報告する回数および報奨金を受領する回数には、制限がありません。
12. 報告者は、Ｓｋｙがすでに認識している脆弱性（Ｓｋｙが同一の脆弱性に関すると判断するものを含みます）についての脆弱性報告情報を報告した場合、報奨金の支払いを受けることができません。
第 10 条 報奨金の算出方法
1.

Ｓｋｙは、前条第 1 項に基づき報奨金の支払いを決定した場合、報告者に、謝礼として報奨金を支払います。

2.

報奨金額は、原則として、第 1 号に掲げる額と第 2 号に掲げる額の合計額に、第 3 号に掲げる割合を乗じた額とします。
①別表 1 に定める、CVSS v3 基本値に基づくベース金額② 別表 2 に定める、脆弱性報告情報の区分ごとの重要性による加算金額③ 別表 3 に定める、脆弱性報告情報のＳｋｙのお客様への影響度を考慮した割合
3.

前項の規定にかかわらず、前項に従って算出された報奨金額は、脆弱性報告情報の内容、Ｓｋｙへの影響度、およびＳｋｙのお客様への影響度を考慮し、増減額する場合があります。

第 11 条 公表
1.

Ｓｋｙは、脆弱性報告情報をＳｋｙの「製品・サービスの脆弱性報告情報の公開過程」に沿って取り扱います。

2.

Ｓｋｙは、報奨金の対象となる脆弱性報告情報を提出した報告者を公表する場合があります。

3.

本制度専用フォームにおいて、報告者の公表の可否と公表時に使用するための名前（公表用の識別名称）を記載してください。Ｓｋｙは、報告者が公表用の識別名称を記載しなかった場合または公表用の識別名称として記載された名称が不適切であると判断した場合には、「名称非開示」として公表するものとします。

4.

報告者の公表用の識別名称は、ＳｋｙWeb サイト、またはＳｋｙ発行の印刷物等において報告者を公表する場合に使用します。

第 12 条 個人情報
1.

Ｓｋｙは、報告者の個人情報を、ご本人確認、ご連絡、審査、支払い、不正利用防止、本制度の円滑利用、その他本制度に必要な事務処理のために利用します。

2.

Ｓｋｙは、本制度により取得した個人情報を以下の通り管理します。
①

Ｓｋｙは、報告者から提供された個人情報を、以下のいずれかに該当する場合を除き、第三者（Ｓｋｙの業務遂行に必要となる業務委託先を除く）に開示・提供しません。
（1）

報告者の同意がある場合。

（2）

司法機関または行政機関から、法的義務を伴う個人情報の開示要請を受けた場合など、法令に基づく場合。

（3）②

報告者個人を識別することができない状態で開示する場合。

Ｓｋｙが管理する報告者の個人情報を、紛失、破壊、社外への不正な流出、改ざん、不正アクセスから保護するために、合理的な範囲内にて安全対策を講じます。

3.

個人情報の取り扱いに関する事項であって、本規約に定めのないものについては、Ｓｋｙの Web サイトで公開される「個人情報の取り扱いについて」の定めが適用されるものとします。

第 13 条 禁止事項
1.

本条以外の本規約において定めることのほか、本制度へ参加するにあたって、報告者は以下に掲げる行為をしてはなりません。
① 公序良俗に反する行為、法令に違反する行為、もしくは第三者に不利益を与える行
為、もしくはそれらをほう助する行為、またはそれらの恐れがある行為② Ｓｋｙもしくは第三者の知的財産権等その他一切の権利を侵害する行為、またはその恐れがある行為③ 本規約に違反する行為、またはそれらの恐れがある行為④ 本制度およびＳｋｙが提供するすべてのサービスの運営を妨げる行為、またはその恐れがある行為⑤ Ｓｋｙまたは第三者の信用もしくは名誉を毀損し、または毀損する恐れがある行為⑥ Ｓｋｙまたは第三者の機密情報または個人情報を不法に公表、開示、提供、または漏洩する行為⑦ Ｓｋｙまたは第三者に対して害を及ぼす行為（発見した脆弱性を利用した（i）他
人のデータ、ソースコード等の閲覧・削除・変更・公開、（ii）ウイルスの送信、（iii）
ストーキング、（iv）テロリストに関するコンテンツの投稿、（v）差別発言の発信、（vi）他者に対する誹謗中傷、（vii）暴力の擁護等を含みますが、これに限りません）⑧ 前各号のほか、本制度の運営を困難とする行為とＳｋｙが判断する行為

2.

Ｓｋｙは、報告者が前項各号のいずれかに該当する行為を行ったと判断した場合、当該報告者に対し、（i）本制度への参加の禁止、（ii）当該報告者が提供した脆弱性報告情報に対する報奨金の不支払いの決定または支払い決定の撤回、（iii）すでに報告者に支払った報奨金の返還請求、および（iv）アクセス遮断その他Ｓｋｙが合理的に求める措置を行うことができるものとし、Ｓｋｙは、これらの措置をとったことにより報告者に生じた損害額等について直接または間接を問わず一切の責任を負いません。

3.

報告者は、第 1 項各号のいずれかに該当する行為を行った場合、当該行為によりＳｋｙに生じた損害（当該行為によりＳｋｙから第三者に対して損害賠償義務が発生した場合の損害賠償額を含みますが、これに限りません）を賠償する責任を負うものとします。

第 14 条 免責
1.

Ｓｋｙは、報告者が本制度に基づき報告を行ったこと、本制度に基づき報奨金を受領したこと、その他本制度に参加したことにより報告者に生じた損害について、一切の責任を負いません。

2.

Ｓｋｙは、本制度に参加したことに起因して報告者と第三者（報告者が所属する組織を含みますが、これに限りません）との間で生じた各種紛争（第 5 条第 2 項の定めに違反したことによる場合を含みますが、これに限りません）について、一切の責任を負いません。

第 15 条 自発的なフィードバック
1.

Ｓｋｙは、新製品、技術、プロモーション、製品名および製品に関するフィードバック、ならびに製品の改良に関するアイデア等、本制度の趣旨に照らして本制度と関連しない提案またはアイデア（以下「自発的なフィードバック」といいます）が本制度を介して送られた場合であっても、当該自発的なフィードバックを本制度に基づく脆弱性の報告としては取り扱いません。

2.

Ｓｋｙは、自発的なフィードバックを機密情報または財産的な価値のある情報として取り扱う義務を負わず、そのように取り扱うことについて一切保証しません。

第 16 条 言語
本規約は、日本語版を正文とし、その解釈において日本語版がほかの言語の翻訳に優先します。
第 17 条 完全合意
本規約は、本制度に関するＳｋｙおよび報告者の完全な合意を構成し、本制度に関するＳｋｙおよび報告者の従前の合意に優先するものです。
第 18 条 準拠法および専属的合意管轄
本規約は、法の抵触に関する原則の適用を除いて、日本国の法律を準拠法とします。また、本規約に関して紛争が生じた場合は、訴額に応じて大阪簡易裁判所または大阪地方裁判所を専属的第一審管轄裁判所とします。
以上
更新履歴
初版：2022 年 1 月 26 日

Ｓｋｙ脆弱性報奨金制度規約 別表 1

ベース金額

CVSS v3 基本値に基づくベース金額は、以下のとおりとします。

深刻度

CVSS v3 基本値

ベース金額

緊急（Critical）

9.0 ～ 10.0

CVSS v3 基本値 × 50,000 円

重要（High）

7.0 ～ 8.9

CVSS v3 基本値 × 30,000 円

警告（Medium）

4.0 ～ 6.9

注意（Low）

0.1 ～ 3.9なし

0CVSS v3 基本値 × 10,000 円
報奨金なし

CVSS v3 基本値については、IPA（独立行政法人情報処理推進機構）が公開している「共通脆弱性評価システム CVSS v3 概説」をご確認ください。
https://www.ipa.go.jp/security/vuln/CVSSv3.html

Ｓｋｙ脆弱性報奨金制度規約 別表 2

脆弱性報告情報の重要性による加算金額

脆弱性報告情報の区分ごとの重要性による加算金額は、以下のとおりとします。
区分
RCE※の判定

脆弱性種別

種別加算金額（最大値）

RCE

150 万円RCE 以外50 万円

SQLインジェクション

25万円

インジェクション（SQL インジェクション以10万円外）
アクセス制御の不備

30万円

入力確認の不備

25万円

XSS

7万円

上記以外
（報告内容によっては、Ｓｋｙが新たな種別を作成します。右記の金額は、上記以外の種別の脆弱性が報告された場合の最大値で、加算金額は作成した種別に沿って評価を行い決定します。
）※リモートからの任意のコマンドやコードの実行が可能

30万円

Ｓｋｙ脆弱性報奨金制度規約 別表 3

報告された脆弱性に関するお客様への影響度と、当該区分の最大値に対する割合

脆弱性報告情報のＳｋｙのお客様への影響度を考慮した割合は、以下のとおりとします。
１．製品・クラウドサービス
報告された脆弱性に関するお客様への影響度
当該脆弱性によるお客様への被害がすでに確認され、弊社が緊急に修正プログラムを作成し公開する場合
当該脆弱性によるお客様への攻撃はすでに確認されているが、お客様に被害は発生しておらず、弊社が修正プログラムを作成し、公開する場合
当該脆弱性によるお客様への攻撃は確認されていないが、弊社が修正プログラムを作成し、公開する場合
当該脆弱性によるお客様への攻撃は確認されず、弊社からの修正プログラムの提供を伴わない回避策の案内により当面の対処が可能な場合
当該脆弱性によるお客様への攻撃は確認されず、通常のバージョンアップ時の修正で対応が可能な場合調査により、弊社が利用している他社のモジュール等に起因していると判明した、弊社が開発した部分以外の脆弱性の場合

最大値に対する割合
100％
75％
50％
25％
25％
0％

２．Ｓｋｙが公開する Web サイト
報告された脆弱性に関するお客様への影響度
すでに Web サイト利用者の個人情報漏洩等の被害が発生し、弊社が緊急に Webサイトの停止もしくは改修、または利用者への案内の掲示等の対応を行う場合
すでに Web サイト利用者の個人情報以外の漏洩等の被害が発生し、弊社が緊急に Web サイトの停止もしくは改修、または利用者への案内の掲示等の対応を行

最大値に対する割合
100％
50％

う場合
Web サイトの改ざんが確認されたが、Web サイトの改修により正常化できた場

20％

合Web サイトへの被害は確認されず、Web サイトの復旧により正常化できた場合

15％

Web サイトについては CVSS 値により算出される報奨金獲得額がないため、別表 2 の重要性に対する加算金額に上記の割合を乗じた金額が、原則的な報奨金額となります。