脆弱性

脆弱性開示方針

コントロンは、お客様の安全とセキュリティの確保に全力を尽くしています。当社は、セキュリティコミュニティとのオープンなパートナーシップの構築を目指しており、コミュニティの活動が、すべての人々の安全とセキュリティを継続的に確保する上で重要であることを認識しています。

当社は、当社の企業理念を反映し、専門知識を提供してくださる誠実なセキュリティ研究者に対する法的責任を果たすため、本脆弱性ポリシーを策定しました。

本脆弱性開示ポリシーは、当社（以下「当組織」）への報告を検討されているあらゆる脆弱性に適用されます。脆弱性を報告される前に、本脆弱性開示ポリシーを最後までお読みいただき、常に本ポリシーに従って行動されることをお勧めします。 当組織は、本ポリシーに従ってセキュリティ脆弱性を報告するために時間と労力を割いてくださる方々を高く評価しています。ただし、脆弱性の開示に対して金銭的な報奨は提供しておりません。

Web／インフラのセキュリティ脆弱性

セキュリティ上の脆弱性を見つけたと思われる場合は、以下のメールアドレスまでご報告ください： [email protected]

ご報告書には、以下の詳細を記載してください：

• 脆弱性が確認できるウェブサイト、IPアドレス、またはページ。

• 脆弱性の種類に関する簡単な説明（例：「XSS脆弱性」）。

• 再現手順。 これらは、無害で破壊的でない概念実証（PoC）である必要があります。これにより、報告の優先順位付けを迅速かつ正確に行うことができます。また、重複報告や、サブドメイン乗っ取りなどの脆弱性を悪用する行為の可能性も低減されます。

製品のセキュリティ上の脆弱性

Kontron製品に新たなセキュリティ脆弱性を見つけたと思われる場合は、当社のPSIRT（製品セキュリティインシデント対応チーム）宛てに、Eメール（[email protected]） - または、Kontronのチケット管理ポータルをお持ちの場合は、そちらからもご報告いただけます。
情報は英語でのみご提供ください。

報告には、以下の詳細を必ず含めてください：

• 製品名および製品バージョン

• 脆弱性の説明および影響

• 問題を再現するために必要な前提条件（設定、シナリオなど）

• 問題を再現するための詳細な手順

• 利用可能な場合は、概念実証（PoC）コード

ご期待いただける内容

ご報告をいただいた後、5営業日以内にご返信し、10営業日以内にご報告内容の優先順位付けを行うことを目指しています。また、進捗状況についても随時お知らせするよう努めます。是正措置の優先順位は、影響度、深刻度、および悪用手法の複雑さを考慮して評価されます。

脆弱性の報告については、優先順位の判定や対応に時間がかかる場合があります。進捗状況についてお問い合わせいただくことは歓迎いたしますが、14日に1回を超える頻度での問い合わせはご遠慮ください。これにより、当社のチームが修正作業に集中できるようになります。報告された脆弱性が修正された際には、その旨をご連絡いたします。また、その修正策が当該脆弱性を適切にカバーしているかを確認していただくよう、ご連絡させていただく場合があります。

脆弱性が修正された後は、ご報告内容の公開に関するご要望を歓迎いたします。影響を受けるユーザーへの案内を統一したいと考えておりますので、公開にあたっては引き続き弊社と調整をお願いいたします。

ガイダンス

以下の事項を必ず遵守してください：

• 常にデータ保護規則を遵守し、当組織のユーザー、スタッフ、契約業者、サービス、またはシステムのプライバシーを侵害してはなりません。例えば、システムやサービスから取得したデータを共有、再配布したり、適切に保護しなかったりしてはなりません。

• 調査中に取得したすべてのデータは、不要になった時点、または脆弱性が解決されてから1ヶ月以内（いずれか早い方）に（あるいはデータ保護法で別途定められている場合）、安全に削除してください。

以下の行為は禁止されています：

• 適用される法律や規制に違反すること。

• 不必要、過剰、または相当量のデータにアクセスすること。

• 組織のシステムまたはサービス内のデータを改変すること。

• 脆弱性を発見するために、高強度の侵入型または破壊型のスキャンツールを使用すること。

• 大量のリクエストでサービスを飽和させるなど、いかなる形態のサービス拒否（DoS）も試みたり、報告したりすること。

• 当組織のサービスまたはシステムを妨害すること。

• 悪用不可能な脆弱性を詳述した報告、またはセキュリティヘッダーの欠如など、サービスが「ベストプラクティス」に完全に準拠していないことを示す報告を提出すること。

• 当組織のスタッフやインフラに対して、ソーシャルエンジニアリング、フィッシング、または物理的な攻撃を行うこと。

• 脆弱性の開示と引き換えに金銭的補償を要求すること。

法的側面

本ポリシーは、一般的な脆弱性開示のベストプラクティスに準拠するよう策定されています。本ポリシーは、法律に違反する行為、あるいは当組織またはパートナー組織が法的義務に違反するおそれのある行為を行うことを許可するものではありません。

質問

本ポリシーに関するご質問は、[email protected] までお送りください。また、本ポリシーの改善に向けたご提案もぜひお寄せください。

殿堂

当社は、責任ある情報開示を通じて潜在的な脆弱性の特定と対処を支援してくださるセキュリティ研究者の皆様の貢献を高く評価しています。コントロン社の製品およびソリューションのセキュリティ向上に貢献してくださった方々をご紹介します。