Coordinated vulnerability disclosure
← ポリシー

Salesforce: 責任ある開示ポリシー

Salesforce では、信頼が最優先の価値であり、お客様のデータの保護を非常に真剣に受け止めています。

Salesforce のセキュリティチームは、独立したセキュリティ研究者がインターネットのセキュリティにおいて果たす貴重な役割を認識しています。そのため、当社のサイトやアプリケーションで見つかった脆弱性を、責任をもって報告することを奨励します。Salesforce は、報告された潜在的な脆弱性を検証し対処するために、セキュリティ研究者と協力することを約束します。

脆弱性をテストまたは報告する前に、これらの条件をご確認ください。Salesforce は、研究者が本ポリシーを遵守する限り、当社のシステムに侵入した、または侵入を試みたことを理由に、研究者に対して法的措置を開始しないことを誓約します。

セキュリティ脆弱性のテスト:

Trial エディションまたは Developer エディションが利用できる場合は、必ずそれらのインスタンスに対してすべての脆弱性テストを実施してください。当社のオンラインサービスをテストするときは、常にテスト用またはデモ用のアカウントを使用してください。

セキュリティ評価、要件、制限、スケジュールについては、「Vulnerability Assessment and Penetration Test」というナレッジ記事をご覧ください。

潜在的なセキュリティ脆弱性の報告:

  • 疑われる脆弱性の詳細を、security@salesforce.com にメールを送って Salesforce に非公開で共有してください
  • Salesforce のセキュリティチームが問題を検証し再現できるよう、疑われる脆弱性の詳細をすべて提供してください

Salesforce が許可しないセキュリティ調査の種類:

見つけた脆弱性を責任ある方法で発見し、当社に報告することを奨励しますが、次の行為は明示的に禁止されています:

  • Salesforce またはそのユーザーに悪影響を及ぼしうる行為を行うこと（例: スパム、ブルートフォース、サービス拒否…）
  • ご自身のものではないデータや情報にアクセスすること、またはアクセスを試みること
  • ご自身のものではないデータや情報を破壊または破損すること、または破壊や破損を試みること
  • Salesforce の従業員、資産、データセンターに対する、あらゆる種類の物理的または電子的な攻撃を行うこと
  • Salesforce のサービスデスク、従業員、請負業者に対してソーシャルエンジニアリングを行うこと
  • 対象サービスの脆弱性テストを、テスト用アカウント（例: Developer または Trial エディションのインスタンス）以外を使って行うこと
  • 脆弱性を発見するために、法律に違反すること、または契約に違反すること

Salesforce セキュリティチームの約束:

未解決の脆弱性を、第三者に共有したり公表したりしないようお願いします。責任をもって脆弱性報告を提出された場合、Salesforce のセキュリティチームと関連する開発部門は、次のことに合理的な努力を払います:

  • 適時に返信し、脆弱性報告の受領を通知する
  • 脆弱性報告への対処に必要な見込み期間を提示する
  • 脆弱性が修正されたときにお知らせする

Salesforce は、脆弱性報告を提出して、Salesforce 全体のセキュリティ態勢の改善に協力してくださったすべての研究者の方々に、喜んで感謝申し上げます。