ResponsibleDisclosure.nl 脆弱性開示の例

Acme Corporation では、システムのセキュリティを最優先事項と考えています。しかし、システムセキュリティにどれだけ努力を注いでも、脆弱性が存在する可能性は残ります。

脆弱性を発見された場合は、できるだけ早く対処するための手立てを講じられるよう、お知らせください。

お客様と当社のシステムをより良く守るために、ご協力をお願いします。

次のことをお願いします:

• 発見した内容を cert@example.com にメールで送ってください。この重要な情報が悪意ある第三者の手に渡らないよう、当社の PGP キーで発見内容を暗号化してください。

• 発見した脆弱性や問題を悪用しないでください。たとえば、脆弱性を実証するのに必要な量を超えるデータをダウンロードしたり、他の人のデータを削除または変更したりしないでください。

• 問題が解決されるまで、他の人に問題を明かさないでください。

• 物理的セキュリティへの攻撃、ソーシャルエンジニアリング、分散型サービス拒否、スパム、第三者のアプリケーションを使用しないでください。

• 問題をできるだけ早く解決できるよう、問題を再現するための十分な情報を提供してください。通常は、影響を受けるシステムの IP アドレスまたは URL と脆弱性の説明で十分ですが、複雑な脆弱性ではさらなる説明が必要になることがあります。

当社の約束:

• 報告から3営業日以内に、報告の評価と解決の予定日をお知らせします。

• 上記の指示に従っていただいた場合、報告に関して、お客様に対する法的措置はとりません。

• 報告は厳重に機密として扱い、お客様の許可なく個人情報を第三者に渡しません。

• 問題の解決に向けた進捗をお知らせします。

• 報告された問題に関する公開情報では、（別段の希望がない限り）問題の発見者としてお客様のお名前を記載します。

• ご協力への感謝のしるしとして、当社がまだ把握していなかったセキュリティ上の問題の報告ごとに、報奨を提供します。報奨の金額は、漏えいの深刻度と報告の質に基づいて決定されます。最低報奨額は50ユーロのギフト券です。

当社は、すべての問題をできるだけ早く解決するよう努めており、問題が解決された後の最終的な公表に、積極的な役割を果たしたいと考えています。

この文書は Floor Terra によって書かれ、Creative Commons Attribution 3.0 Unported ライセンスで公開されています。