Coordinated vulnerability disclosureFox-IT 協調的脆弱性開示
Fox-IT では、当社のシステム、ネットワーク、製品のセキュリティを最も重要なものと考えています。セキュリティに細心の注意を払っていても、弱点が残ることがあります。そのような弱点を見つけられた場合は、できるだけ早く適切な対策を講じられるよう、できるだけ早くお知らせください。
弱点の発見には2つの方法があります。デジタル環境を通常どおり利用している間にたまたま何かに行き当たる場合と、明確に弱点を見つけようと努力する場合です。
当社の責任ある開示ポリシーは、弱点を発見するために当社の業務ネットワークを積極的にスキャンすることを促すものではありません。当社は自ら業務ネットワークを監視しています。つまり、スキャンが検知される可能性が高く、当社のセキュリティオペレーションセンター（SOC）が調査を行うことになり、不要なコストが発生しかねません。ただし、オフラインの非本番環境で当社の製品の脆弱性を積極的に探し、その結果を当社に報告していただくことは歓迎します。お客様に対する当社の責任として、お客様のインフラへのハッキングの試みを奨励する意図はありません。しかし、脆弱性が見つかった場合は、適切に解決できるよう、できるだけ早くお知らせいただきたいと考えています。
お客様と当社のシステムをより良く守れるよう、皆様と協力したいと考えています。
次のことをお願いします:
発見した内容を、できるだけ早く security-alert@fox-it.com にメールで送ってください。
脆弱性を悪用しないでください。たとえば、データのダウンロード、編集、削除をしないでください。当社は常に報告を真剣に受け止め、証拠がなくても、脆弱性の疑いがあれば調査します。
問題が解決されるまで、他の人に問題を共有しないでください。
物理的セキュリティへの攻撃、ソーシャルエンジニアリング、脆弱性スキャナーのようなハッキングツールを使用しないでください。
問題を再現できるだけの十分な情報を提供してください。そうすれば、できるだけ早く解決できます。通常は、影響を受けるシステムの IP アドレスまたは URL と脆弱性の説明で足りますが、より複雑な脆弱性ではさらなる情報が必要になることがあります。
当社の約束:
報告から3営業日以内に、報告の評価と解決の予定日をお知らせします。
報告は機密として扱い、お客様の許可なく個人情報を第三者と共有しません。ただし、訴追の場合や情報が要求された場合の警察および司法当局は例外です。
問題の解決の進捗をお知らせします。
報告された問題についての連絡では、ご希望であれば、問題の発見者としてお客様のお名前を記載します。
残念ながら、お客様に対して法的措置がとられないことを事前に保証することはできません。各状況を個別に検討したいと考えています。弱点やデータが悪用されている、またはお客様が弱点の知識を他者と共有したと疑われる場合は、お客様を通報することが道義的に求められていると考えています。当社のオンライン環境での偶然の発見が、訴追につながることはないとご安心ください。
ご協力への感謝として、当社が把握していないセキュリティ上の問題の報告ごとに、報奨を提供します。報奨の額は、侵害の深刻度と報告の質に基づいて決定します。
当社は、すべての問題をできるだけ早く解決し、関係者全員に情報をお伝えするよう努めており、問題が解決された後の公表にも関わりたいと考えています。
例: Bits of Freedom
私たちのデジタルインフラへの依存は、ますます高まっています。これは社会全体に当てはまりますが、私たち自身にも当てはまります。したがって、政府や組織（私たちの組織を含む）は、デジタルインフラの保護に強く取り組むべきだと私たちは考えます。最善の意図と最大限の注意を払っても、私たちのシステムに脆弱性が存在しうることを、私たちは認識しています。こうした弱点を見つけた場合は、問題を解決できるよう、ぜひご連絡ください。
私たちがお願いすること
私たちのシステムを調査するときは、攻撃の比例性を念頭に置いてください。当社のウェブサイトにインターネット史上最大の DDoS 攻撃を加えれば、サイトが到達不能になりうることを実証する必要はありません。それは分かっています。また、オフィスにブルドーザーで突っ込めば、おそらくノートパソコンを1台奪えることも理解しています。
この比例性の原則は、脆弱性そのものを実証するときにも当てはまります。発見内容の正しさを確認するために厳密に必要な量を超えて、データを調べたり変更したりしてはいけません。たとえば、ホームページを変更できる場合は、ページ全体を乗っ取るのではなく、物議を醸さない単語を1つだけ追加してください。データベースにアクセスできる場合は、そこにあるテーブルの一覧を、あるいはそれらのテーブルのうちの1つの最初のレコードを示せば十分です。
私たちのシステムの脆弱性は、security@bof.nl にメールを送って、できるだけ早く報告してください。できれば OpenPGP でメッセージを暗号化してください。私たちが問題を再現し調査できるよう、十分な情報を提供してください。
security@bof.nl の OpenPGP 公開鍵
私たちが問題に対処していない間、そしてあなたが問題を報告してから妥当な期間内にある間は、脆弱性についての知識を他の関係者と共有しないでください。
私たちが脆弱性を解決したら、調査の過程で入手した機密情報をすべて削除してください。
私たちにできること
報告から3日以内に、詳細な返信をします。問題への対処に必要な見込み時間も添えます。もちろん、進捗は定期的にお知らせします。
脆弱性はできるだけ早く解決します。ここでも比例性が重要です。脆弱性の修正に必要な時間は、問題の深刻度や複雑さなど、いくつかの要因によって決まります。
ここに示したガイドラインに従っていただいた場合、報告に関して、あなたに対する法的措置はとりません。
ご希望であれば、あなたの功績を認めることは私たちにとって重要です。脆弱性に関する公表にあなたのお名前を記載するのは、あなたが同意した場合に限ります。
私たちのシステムをより良く守る手助けをしてくださったことへの感謝として、当時私たちが把握していなかった脆弱性の報告ごとに、報奨を差し上げたいと考えています。報奨は、脆弱性の深刻度と報告の質によって決まります。
私たちが使用している第三者のソフトウェアに脆弱性を見つけ、その脆弱性がバグ報奨金プログラムの対象である場合、私たちはその報奨金を請求しようとはしません。あなたが請求すべきです。