脆弱性開示ポリシー

はじめに

Ivantiでは、エンタープライズソフトウェア製品のセキュリティと整合性を確保することに専念しています。セキュリティ研究者、倫理的ハッカー、およびより広範なセキュリティコミュニティが、脆弱性の特定と報告において果たす重要な役割を認識しています。本脆弱性開示ポリシーでは、セキュリティ研究者と協力して取り組む当社のソフトウェアセキュリティを向上させるための取り組みについて概説するものです。脆弱性を報告する手順のほか、弊社の期待、ならびにお客さまが弊社に期待できることについて概説しています。

Ivantiが買収した企業 (Pulse Secure、Cherwell、MobileIronなど)の製品に関連するものを含め、Ivantiの製品またはソリューションに関連するセキュリティ関連の問題に遭遇した場合、またはIvantiのインフラストラクチャに関連するセキュリティ上の発見があった場合は、「報告チャネル」に記載されているいずれかのチャンネルを通じてご報告ください。ユーザー各位からの貴重なご意見やご体験は、当社製品のセキュリティ、ならびにインフラストラクチャにおけるインテグリティの保証に貢献します。 皆様の注意深い目とご貢献は、弊社製品のセキュリティを保護し、弊社インフラの完全性を維持する上で非常に重要です。Ivantiのセキュリティ強化にご協力いただき、誠にありがとうございます。

脆弱性報酬

この脆弱性開示プログラムに加え、Ivantiは、HackerOne上で一部のIvanti製品を対象とした特別なバグ報奨金プログラムを適用しています。この特別プログラムは招待制であり、セキュリティ研究者にIvanti製品をホストする専用環境へのアクセスを許可します。

脆弱性レポートが Ivanti のバグ報奨金プログラムの範囲内の製品に影響を与える場合、レポートは Ivanti のバグ報奨金プログラムに移され、報奨金を受け取る可能性があります。 詳細については、https://hackerone.com/ivantiをご覧ください 

Ivantiは、独自の裁量に基づいて提出された報告を評価し、報奨金の対象とする排他的権利を留保します。

脆弱性報告の取り扱い手順

• ご報告いただいた内容については、VDP/バグ報奨金パートナーであるHackerOneが迅速に対応し、ご報告内容の理解と検証に努めます。
• Ivantiのセキュリティチームは、報告を受けてから10営業日以内に脆弱性の検証に取り組みます。
• 脆弱性が確認されると、Ivantiはその深刻度に基づいて解決の優先順位を決定します。報告者には、修復プロセスの状況について定期的に最新情報を提供します。
• Ivantiは、報告された脆弱性に誠意をもって対処し、緩和することを約束します。必要に応じて、報告者に意見や支援を求めることがあります。
• Ivantiは、特定の種類のセキュリティ脆弱性を取り扱うための、より具体的な手順を随時承認し、利用可能にすることがあります。それらの追加的な手順は、本脆弱性開示プログラムの延長線上にあります。

リーガル・セーフハーバー

セキュリティ脆弱性の研究と責任ある開示を奨励するため、Ivanti は、この脆弱性開示プログラムに従ってセキュリティ脆弱性を遵守し、報告するよう誠実に努力するセキュリティ研究者に対して法的措置を講じません。

お客様のセキュリティ調査に第三者 (当社ではない) のネットワーク、システム、情報、アプリケーション、製品、またはサービスが関与している場合、当社はその第三者を拘束することはできず、第三者が法的措置を講じたり、法執行機関に通報したりする可能性があることをご理解ください。当社は、他の団体の名においてセキュリティ調査を許可することはできませんし、許可することもありません。また、お客様の行為に基づく第三者の行為からお客様を防御、補償、その他の方法で保護することをいかなる形でも提案することはできません。

お客さまには、適用されるすべての法律を遵守し、当社の脆弱性開示プログラムが許可する範囲を超えて、いかなるデータも破壊したり侵害したりしないことが期待されます。

本ポリシーと矛盾する、または本ポリシーで対処されない可能性のある行為を行う前に、当社までご連絡ください。当社は、利用者が本脆弱性開示プログラムに従ってセキュリティ脆弱性を遵守し報告するために誠実に努力したかどうかを判断する唯一の権利を留保し、いかなる行為に従事する前にも当社に積極的に連絡することは、その判断の重要な要素となります。迷った際には、まずご一報ください。