脆弱性開示ポリシー

最終更新日:2026年10月25日(バージョン1.1)。

1. 目的

GlobeID Limited(以下「GlobeID」)は、宿泊施設事業者に代わってホテル宿泊客の本人確認データを処理するPassportScanプラットフォームを運営しています。当社は、セキュリティ研究者の皆様の活動を高く評価しており、当該データ、当社のお客様またはユーザーをリスクにさらす可能性のあるあらゆる脆弱性について、ご報告をお待ちしております。

本ポリシーは、当社へのセキュリティ脆弱性の報告方法、当社からの対応として期待できる事項、およびテスト実施時に適用されるルールについて説明するものです。本ポリシーは、GlobeIDの情報セキュリティマネジメントシステム(ISO/IEC 27001:2022 管理策 A.5.7 脅威インテリジェンス および A.8.8 技術的脆弱性の管理)を支えるものです。

2. 適用範囲

対象範囲内

• app.passportscan.net、api.passportscan.net、workspace.passportscan.net、distributor.passportscan.net および selfcheckin.passportscan.net において公開されているPassportScan CloudのウェブアプリケーションおよびAPI
• GlobeIDがApple App StoreおよびGoogle Playで公開しているPassportScanモバイルアプリケーション
• 宿泊客が利用するPassportScanセルフチェックイン用ウェブフロー
• 公開ウェブサイト https://www.passportscan.net

対象範囲外

• 第三者が運営するシステム(クラウドプロバイダーのコンソール、決済プロバイダー、アイデンティティプロバイダー、お客様が統合したプロパティマネジメントシステム)
• VPNインフラストラクチャ(vpn.passportscan.net を含む)および対象範囲として記載されていない passportscan.net 配下の内部専用ホスト名
• お客様が所有するデバイス、ネットワークおよびオンプレミス環境へのインストール
• GlobeIDの従業員、委託先またはお客様に対するソーシャルエンジニアリング、フィッシングまたは物理的攻撃
• あらゆる種類のサービス妨害(DoS)テストまたはリソース枯渇テスト
• 大量のトラフィックを発生させる自動スキャン(当社のエッジシステムは、悪用元に対してレート制限およびブロックを行います)
• 旧式のブラウザにのみ影響する、または侵害されたデバイスを必要とする指摘事項
• 実際の影響が実証されていない、ベストプラクティスヘッダーの欠如、SPF/DMARC設定またはバージョン情報の開示に関する報告

3. 報告方法

報告は security@passportscan.net 宛てに送信してください。以下の内容を含めてください。

• 脆弱性の内容および影響を受けるコンポーネント(URL、アプリのバージョン、エンドポイント)の説明
• 再現のための手順(有用な場合は、リクエスト/レスポンスまたはスクリーンショットを添付)
• 影響に関する報告者ご自身の評価
• フォローアップのための連絡方法(匿名による報告も受け付けます)

報告に宿泊客またはお客様の個人データが含まれる場合は、問題を実証するために必要な最小限の情報のみを送信し、当社が受領を確認した時点で、すべての複製を削除してください。

本ポリシーへの機械可読な参照情報は、https://www.passportscan.net/.well-known/security.txt(RFC 9116)にて公開されています。

4. 当社からの対応として期待できる事項

脆弱性が個人データ侵害をもたらした場合、またはもたらすおそれがある場合、GlobeIDは、インシデント対応およびデータ侵害手順に従い、影響を受けるお客様(管理者)への不当な遅滞のない通知、およびGDPR第33条により必要とされる場合には72時間以内の監督機関への通知を行います。

5. 行動規範(セーフハーバー)

本ポリシーに準拠したセキュリティリサーチに対しては、当社は法的措置を講じず、また法執行機関への通報も行いません。その代わりに、以下の事項を遵守していただくようお願いします。

• 誠実に行動し、プライバシー侵害、データ破壊およびサービス妨害を回避すること
• 個人データ(本人確認書類、宿泊客記録)に遭遇した場合は、直ちにテストを中止し、速やかに報告すること — ダウンロード、保存または共有を行わないこと
• ご自身が所有するアカウント、または明示的に使用を許可されたアカウントのみを使用すること。他のお客様のデータへのアクセスを試みないこと
• 脆弱性の実証に必要な範囲を超えて悪用しないこと(ピボット、永続化またはラテラルムーブメントの禁止)
• サービス妨害(DoS)、ブルートフォースまたはスパムのテストを実施しないこと
• 当社が修正を完了し、開示について合意するまで、脆弱性の詳細を秘密として保持すること

GlobeIDの本番環境は監視されています(ウェブアプリケーションファイアウォール、リクエストログ記録およびアラート)。これらのルールに違反するテストは、自動的にブロックされ、攻撃として扱われる場合があります。

6. 協調的開示

公開前に、受領確認から 90日間 の猶予期間を設けていただくようお願いします。修正に第三者との調整(例えば、モバイルアプリストアでのリリースまたはお客様の統合システム)が必要な場合は、相互の合意により延長が可能です。ご希望に応じて、当社のリリースノートにおいて研究者の方のクレジットを喜んで掲載いたします。

7. 謝意の表明

GlobeIDは現在、有償のバグバウンティプログラムを実施しておりません。当社は、有効な報告について（報告者の同意を得た上で）公に謝意を表明するとともに、影響度の高い発見に対しては、当社の裁量により謝礼を提供する場合があります。

8. 当社自身の脆弱性管理

外部からの報告とは別に、GlobeIDは以下を実施しています。

• すべてのコンテナイメージについて、イメージレジストリへのプッシュ時に既知の脆弱性のスキャンを行い、リリースプロセスの一環として第三者製の依存関係をレビューします
• 第4条に定める是正目標に基づき、リスクベースのパッチ適用ポリシーを適用します
• プラットフォームに対する独立した第三者による定期的な侵入テストを委託実施します
• すべての発見事項を脆弱性管理台帳に記録し、情報セキュリティ責任者によるレビューを行います

9. 連絡先

セキュリティに関する報告： security@passportscan.net プライバシーに関する事項： privacy@passportscan.net 法人情報： GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Ireland（CRO 559612）