サイバーセキュリティに関する情報
MEIKOによる脆弱性への対応
はじめに
MEIKOは、セキュリティリスクに関するあらゆる情報提供を歓迎し、誠実に、かつ透明性をもってこれに対処します。脆弱性を発見し、対処することで、MEIKOはお客様に常に高いレベルのセキュリティを提供しています。このため、MEIKOはあらゆる脆弱性の特定と、満足のいく解決策の開発に強い関心を寄せています。
この脆弱性開示ポリシーは、私たち（以下「当組織」という）に対し何らかの脆弱性を報告する際、およびMEIKO製品における弱点の有無を確認するための調査に際し、順守すべき手順の概要を示しています。
当組織は、脆弱性を報告するする前にこの脆弱性開示ポリシーを最後まで読み、常にその内容を順守することを推奨しています。当組織は、本ポリシーに従ってセキュリティ上の脆弱性を報告するために、皆様が時間と労力をかけてくださることの価値を理解しています。ただし、当組織は、脆弱性の報告 開示に対して金銭的な報酬を提供しておりません。
報告者
報告者は自らの行動に対し責任を負い、脆弱性の調査および報告にあたっては、比例原則および補完性の原則を順守しなければなりません。つまり、報告者は脆弱性を実証するために必要な範囲を超えて行動してはならず、脆弱性は必ず最初に当該システムまたは情報の所有者に報告しなければなりません。
本ポリシーに定める指示に従っている限り、当組織は、善意に基づいて行われた脆弱性の調査および報告について、法的措置を講じることはありません。悪意があったことを証明するものがある場合、この法的保護は適用されません。
報告者の義務：
- 脆弱性の発見者による悪用を防ぐため、報告者は可能な限り速やかに報告しなければなりません。
- 報告者は、第三者がこの情報にアクセスできないよう、当組織への報告は機密を保持した方法で行う必要があります。
報告者と当組織は、脆弱性の開示に関し、明確な合意を形成します。複数の組織が関係する場合は、基本的な原則として、すべての組織が合意した場合にのみ、脆弱性を公開することができます。
報告行為
セキュリティの脆弱性を発見したと思われる場合は、次のEメールアドレス宛に報告を送信してください：service-support@meiko-global.com
メールは英語またはドイツ語で作成してください。それ以外の言語での報告は受け付けておりません。
脆弱性を報告する際は、以下の情報を含めてください：
- 脆弱性が確認される資産（ウェブアドレス、IPアドレス、製品、サービス名）
- 弱点（CWEなど）（任意）
- 深刻度（CVSS v3.1など）（任意）
- 脆弱性の名称（必須）
- 脆弱性の説明（これには、要約、裏付けとなるファイル、および可能な緩和策または推奨事項を含めてください）（必須）
- 影響（攻撃者は何ができるか？）（必須）
- 再現の手順。これらは、無害で非破壊的な概念実証である必要があります。
予備の連絡先：
- お名前
- Eメールアドレス
報告後に起きること
報告を送信いただいた後、当組織は、所定の手順に従い、報告内容に最も適した担当部門に確実に引き継ぎます。送信後のプロセスは以下の通りです：
- 当組織は、報告を受領したことを報告者に通知します。
- 報告は、党組織のリスクアセスメント（影響、深刻度、悪用の難易度）に基づいて評価 対応されます。
- 当組織はこの評価 対応状況について、報告者へ随時お知らせします
- 報告者は、問い合わせは14日間に1回までにとどめてください
- 報告された脆弱性が他の箇所にも存在すると考えるだけの合理的な理由がある場合、当組織は報告者と協議のうえ、調査結果を公表します。
- 当組織は、提出された報告を機密として取り扱います
- 当組織は、報告者の許可なく、報告者の個人情報を第三者に引き渡すことはありません。
ガイダンス
NGリスト：
- 発見した脆弱性や問題を悪用すること（不必要なアクセスや、過剰な量のデータまたは大量のデータの取得など）
- 問題が解決される前に、その内容について他人に開示すること
- 当組織のシステムやサービスのデータを改変すること
- 脆弱性を発見するために、物理的セキュリティへの攻撃、ソーシャルエンジニアリング、分散型サービスの拒否、スパム、侵襲的または破壊的なスキャンツールを使用すること
- サービスに常識を超えた量のリクエストを送り付けるなど、あらゆる形態のサービス拒否攻撃を試みたり、実行すること
- 当組織のサービスまたはシステムを運用を妨害すること