調整された脆弱性開示ステートメント

目的

本ポリシーは、製品セキュリティの脆弱性を受領、検証、コミュニケーション、修正、および公開するにあたり、当社が遵守すべき基本原則と対応上のコミットメントを定めるものです。当社は、セキュリティ研究者、顧客、パートナー、サプライヤーおよびその他の関係者に対し、本ポリシーに従って潜在的な脆弱性を報告するとともに、協調的な情報開示を通じてエンドユーザーおよびエコシステムに対するリスクを共同で軽減することを奨励します。

本ポリシーは、当社の脆弱性管理手順および全ライフサイクルにわたる脆弱性対応運用マニュアルと併せて運用されるものとします。外部向けポリシーに記載された連絡先情報、確認までの期間、コミュニケーションの頻度、安全な通信手段、情報開示の取り決め、および謝辞に関するコミットメントは、社内プロセス、担当者の責任、および記録保持の仕組みによって裏付けられるものとします。

適用範囲

本ポリシーは、Minifireの名称の下で製造、販売、保守、またはサポートされるデジタル対応製品および関連サービス(ソフトウェア、ファームウェア、ハードウェア、モバイルアプリケーション、API、更新の仕組み、デフォルト設定、および関連するクラウドサービスを含むがこれらに限定されない)に適用されます。適用対象製品の正確な範囲は、当社の公式ウェブサイト、顧客ポータル、または製品セキュリティに関するウェブページに掲載された情報に従うものとします。

本ポリシーは、一般的な機能上の不具合、スパム、ソーシャルエンジニアリングテスト、物理的攻撃、サービス拒否(DoS)ストレステスト、不正なデータアクセス、第三者システムを標的としたテスト、または適用法、顧客契約もしくは利用規約に違反する行為には適用されません。報告者が、ある問題が本ポリシーの適用範囲に該当するかどうか不確かな場合、本書に記載のチャネルを通じて事前に連絡を取ることができます。

報告チャネル

当社は、1つ以上の脆弱性報告チャネルを維持します。報告者が一般顧客サポートまたはその他のセキュリティに関連しないチャネルを通じて最初の情報提供を行った場合、当社はその提出を受け付け、報告者を正式なセキュリティチャネルへ案内するものとします。最初の提出チャネルが誤っていたことのみを理由に報告を却下することはありません。公開されている報告チャネルの中には、特定の個人に紐づかない正式な窓口を少なくとも1つ用意し、外部からアクセス可能な状態を維持するものとします。

1. セキュリティ用メールアドレス: security@expressluck.com
2. 公式ウェブサイトポータル: https://minifire.com/en/pages/cybersecurity-policy
3. その他の連絡窓口(例:販売プラットフォームなど)

報告者にご提供いただきたい情報

脆弱性の迅速な検証および修正を促進するため、報告者には以下の情報をできる限り多くご提供いただくことを推奨します。一部の情報が不足していても、それだけで報告が自動的に却下されることはありません。当社は、その後のやり取りの中で追加情報を求める場合があります。

• 影響を受ける製品、モデル、ハードウェアリビジョン、ソフトウェア/ファームウェアのバージョン、コンポーネント、設定、導入環境、または顧客の利用シナリオ。
• 脆弱性の説明、攻撃の前提条件、発生条件、再現手順、最小限のPoC、スクリーンショット、ログ、その他の裏付け資料。
• 潜在的な影響についての報告者による評価(例:脆弱性がリモートから悪用可能かどうか、認証が必要かどうか、機密性/完全性/可用性への影響など)。
• 脆弱性が既に公開されているかどうか、悪用が疑われるまたは確認されているかどうか、サプライヤー・顧客・調整機関その他の関係者への通知の有無。
• 報告者の連絡先情報、タイムゾーン、所属組織、予定している公開日、提案する秘密保持期間、および記名または匿名についての希望。

報告者は、脆弱性の検証に必要な範囲を超えて、顧客の営業秘密、認証情報、秘密鍵、その他の情報を提出することを控えるものとします。テスト中にそのような情報に不注意にアクセスしてしまった場合は、直ちにそれ以上のアクセスを停止し、その状況を報告書に記載するものとします。

受領、確認およびコミュニケーションに関するコミットメント

脆弱性報告を受領後、製品セキュリティチームは社内手順に従って報告を記録し、優先順位付けを行います。一般的な状況においては、Minifireは以下のコミュニケーションの頻度に従います:

1. 有効な報告の受領後 1営業日 以内に、割り当てられた追跡番号(VMR-YYYY-NNNN)とともに受領確認を送付します。この追跡番号は、優先順位付け、検証、修正、コミュニケーション、情報開示、案件終了に至るまで一貫して参照されるものとします。同一の脆弱性が複数のチャネルを通じて繰り返し提出された場合、それらの提出は元の報告に紐づけられ、連絡可能な報告者には状況の更新が提供されます。
2. 予備的な検証は 3営業日以内に完了し、調査を進めるかどうか、追加情報が必要かどうか、または本ポリシーの適用範囲外であるかどうかについて通知します。
3. 検証および修正の期間中、報告者には少なくとも 15暦日 ごとに状況の更新が提供されます。重要な変更があった場合は速やかに連絡いたします。
4. 脆弱性が確認された後、当社は想定される修正方針、暫定的な緩和策、協調的な情報開示の取り決め、および公開予定時期について連絡します。
5. 修正、緩和策、または案件の終了が完了した際には、当社は終了に関する結論、勧告文書へのリンク、謝辞の取り扱い、および今後のサポートオプションについて報告者に通知します。

安全な通信および情報保護

脆弱性報告および調整のためのワークフローには、悪用の詳細、PoCファイル、ログ、認証情報、秘密鍵、顧客データ、または非公開の修正情報が含まれる場合があります。当社は必要最小限のアクセス原則に基づいてアクセスを制限し、機微な情報は保護されたチャネルを通じて送受信・保管するものとします。

• 初回の報告は、通常のメールまたはMinifireの公式ウェブサイトのサポートチャネルを通じて提出することができます。機微な詳細や添付ファイルは、安全なフォームや暗号化されたメールなど、保護されたチャネルへ速やかに移行するものとします。安全な通信方法は、機密性とメッセージの完全性の両方を維持するものとします(例:HTTPSで保護されたフォーム、PGP/S-MIMEで暗号化または署名されたメール、管理された顧客ポータルなど)。
• 非公開の脆弱性情報を、権限のない担当者へ転送したり、オープンアクセスのリポジトリにアップロードしたり、公開のチャットグループや管理されていないプラットフォームで議論したりしてはなりません。
• チケット、コードリポジトリ、共有ドライブ、メーリングリスト、および会議記録には適切なアクセス権限を適用するものとし、主要なアクセスおよび通信の記録は保持されるものとします。
• 脆弱性情報をサプライヤー、オープンソースのメンテナー、CERT/CSIRT機関、顧客、または規制当局と共有する必要がある場合、調整・修正・ユーザー保護のために必要な最小限の情報のみを開示するものとします。

協調的な情報開示および秘密保持期間

当社と報告者は、合理的な秘密保持期間および公開日について協議することができます。秘密保持期間は、脆弱性の深刻度、修正の複雑さ、上流・下流間の調整の複雑さ、製品の重要度、悪用が実際に行われているかどうかの状況、既存の公開情報、ユーザーが更新を導入するために必要な時間、および適用される法的または契約上の要件を考慮して決定されるものとします。

修正または緩和策が利用可能になるまでの間、報告者と当社の双方は、悪用リスクを高める可能性のある技術的詳細を公開することを控えるものとします。脆弱性情報が早期に公開された場合、実際に悪用が発生した場合、報告者が早期公開を意図している場合、またはユーザーへのリスクからより早い通知が必要な場合、当社は速やかに製品セキュリティ責任者ならびに法務/コンプライアンス責任者にエスカレーションし、情報開示の取り決めを再評価するとともに、外部へのセキュリティ勧告の義務が発生するかどうかを検討するものとします。

修正、勧告文書およびユーザーへの通知

脆弱性の確認後、当社はリスク評価および製品サポートポリシーに従い、修正、暫定的な緩和策、検証テスト、およびリリースの準備を進めます。第三者コンポーネント、オープンソースプロジェクト、ハードウェアサプライヤー、クラウドサービス、または販売パートナーが関与する場合、製品セキュリティチームは上流・下流の関係者と調整を行い、影響分析および修正計画を完了させます。

セキュリティ勧告は、通常、修正済みバージョン、パッチ、設定上の緩和策、またはその他のリスク低減措置が利用可能になった後に公開されます。勧告文書には、対象ユーザーが関連性を評価し行動を取れるよう、十分な情報を含めるものとします。一般的には、脆弱性の説明、脆弱性識別子、影響を受ける製品およびバージョン、潜在的な影響、深刻度評価、修正/緩和策、公開日、改訂日、サポート連絡先情報、および同意が得られている場合には報告者への謝辞が含まれます。

技術的詳細の完全な公開が、セキュリティ上の利益よりも大きな攻撃リスクを生む可能性がある場合、当社はまず、影響を受けるユーザーに対しリスク低減のための情報と修正措置を提供し、併せて完全公開の予定日を示すことがあります。完全公開の延期については、製品セキュリティ責任者、関連する製品責任者、および法務/コンプライアンス責任者による承認と文書化を要するものとします。

謝辞について

当社は、セキュリティ研究コミュニティによる製品セキュリティへの貢献を尊重します。脆弱性の修正および情報開示の後、報告者の同意を得た上で、当社はセキュリティ勧告、謝辞ページ、または社内記録において報告者を称える場合があります。

適用法によって認められる最大限の範囲において、当社は、本ポリシーに従って誠実に行われ、適時に報告された善意のセキュリティ研究に対して、不利益となる法的措置を講じることはありません。このコミットメントは、法律に違反する行為、第三者システムへのアクセス、サービスの妨害、データの持ち出し、恐喝、脅迫、その他本ポリシーの範囲を超える行為には適用されません。

謝辞、セーフハーバーおよび責任制限に関する声明

当社は、セキュリティコミュニティによる製品セキュリティへの貢献を尊重します。脆弱性の修正および情報開示の後、報告者の同意を得た上で、当社はセキュリティ勧告、謝辞ページ、または社内記録において報告者の貢献を公に称える場合があります。報告者は、匿名を希望するか、指定した名義を使用するかを選択することができます。

適用法によって認められる最大限の範囲において、当社は、本ポリシーに従い、誠実に行われ、適時に報告された善意のセキュリティ研究に対して、不利益となる法的措置を講じることはありません。このコミットメントは、法律に違反する行為、第三者システムへのアクセス、サービスの妨害、データの持ち出し、恐喝、脅迫、その他本ポリシーの範囲を超える行為には適用されません。

記録の保持、見直しおよび継続的改善

当社は、ポリシーの各バージョン、公開ページへのリンク、チャネル検証の記録、脆弱性報告、コミュニケーションログ、安全な通信の証跡、情報開示に関する決定、勧告文書の改訂履歴、謝辞の確認記録、修正の検証記録、および案件終了の記録を保持します。保持期間は製品サポートのライフサイクルをカバーし、適用される規制、契約、および顧客の要件を満たすものとします(脆弱性登録簿は、少なくとも10年間、または製品サポートのライフサイクルのいずれか長い方の期間、保持されるものとします)。

製品セキュリティ責任者は、少なくとも年1回/半年に1回、ポリシーの見直しを実施し、報告チャネルの稼働状況、公開ページのアクセス可能性、コミュニケーション期間の達成状況、安全な通信の有効性、勧告文書の完全性、およびユーザーと報告者からのフィードバックへの対応状況を確認するものとします。特定された課題は改善対応へと変換され、完了するまで追跡されます。