重大な脆弱性発生時の対応方針

制定日：Nov 4, 2026

はじめに

SaaSus Platformは、お客様が提供するSaaSの認証・テナント管理・課金などを支える基盤です。そのため、当社がサービスを止めると、お客様のサービスやその先のエンドユーザーにも影響が及びます。

本方針は、重大な脆弱性が公表されたときに「安全を守ること」と「お客様のサービスを止めないこと」をどう両立させるか、当社の基本的な考え方をお示しするものです。

3つの基本方針

1. できる限り、サービスを止めずに守ります

お客様のサービスを止めずに対策することを第一とし、次の流れで対応します。

1. WAFで暫定的に防ぐ：WAF（Webアプリケーションファイアウォール）で、攻撃に使われる通信を入口で遮断します。修正が完了するまでの間も、安全を確保します。
2. 修正パッチを適用する：根本的な対策として修正パッチを適用し、自動テストで動作に問題がないことを確認します。
3. 止めずに反映する：ローリングアップデート（サーバーを少しずつ順番に入れ替える方式）などにより、サービスを動かしたまま修正を反映します。
4. 反映後に確認する：監視とログで、異常や攻撃の痕跡がないかを確認します。万一不具合が見つかった場合は、すぐに直前の状態へ戻します。

WAFで防げない場合や、修正の準備に時間を要する場合は、次の方針2に従い、関係する機能だけを一時的に停止します。

2. 止める場合は、影響の小さい機能から、一部だけ、短時間にとどめます

やむを得ず停止する場合も、全体を一度に止めることはしません。管理画面など、お客様のエンドユーザーに影響しにくい機能から順に、必要な範囲だけを止めます。ログイン済みのエンドユーザーがサービスを使い続けられる状態は、最後まで守ります。

3. 状況を速やかに、わかりやすくお知らせします

当社への影響の有無を速やかに公表します。停止の可能性がある場合は、できる限り事前にお知らせします。また、サービスを止めずに対応した場合も、その理由と安全性をご説明します。

やむを得ず停止する場合の順番

停止が必要と判断した場合は、次の順番で、必要な段階までにとどめます。

段階	停止する機能	お客様のサービスへの影響
1	管理画面、設定変更、管理用API	エンドユーザーの利用は継続します
2	課金計算、利用量の取り込み、通知などの裏側の処理	受け付けたデータは、再開後に順次処理します
3	新規ログイン、新規登録など、脆弱性に関係する機能	該当機能のみ一時的に利用できなくなります
最終手段	サービス全体	サービス全体が利用できなくなります（実際の攻撃が確認され、情報漏えいの恐れがある場合に限ります）

お知らせの方法

重大な脆弱性が公表された場合、次の方法でお知らせします。

• ステータスページ・お知らせページ：影響の状況、対応状況、停止の予定と再開時刻を掲載します
• メール：ご登録いただいた代表者メールアドレス宛てに、停止の予告や対応完了をご連絡します

お知らせする内容は、「影響の有無」「当社の対応」「お客様にお願いしたい対応（ある場合）」の3点を基本とします。お客様がご自身の利用者様へご説明される際にも、そのままご活用いただける内容を心がけます。

お客様へのお願い

• 連絡先のご登録：緊急時のご連絡は代表者メールアドレス宛てにお送りいたします。
• SDKの更新：お客様のアプリケーションに組み込まれたSDKに修正が必要な場合は、当社からご案内しますので、更新をお願いします
• メンテナンス時のご案内：当社が機能を一時停止する場合に備え、お客様のサービスをご利用の方へのご案内方法をご準備いただくことをおすすめします

平時からの取り組み

「止めずに守る」ために、当社は日頃から次の取り組みを進めています。

• 利用しているソフトウェアとバージョンの把握（脆弱性が公表された際に、影響の有無をすぐに判断するため）
• テストと修正適用の自動化（サービスを止めずに、短時間で修正を反映するため）
• 機能ごとに個別に停止できる仕組みの整備（停止の範囲を最小限にするため）
• 緊急時の判断体制と手順の整備、定期的な訓練

本方針は、状況の変化に応じて見直します。