脆弱性開示ポリシー

私たちは、脆弱性の開示は相互理解が重要であると考えています。研究者だけでなく、ベンダーも協調的な脆弱性開示に参加しなければなりません。Enable Securityは独自の調査を通じて脆弱性を発見した場合、その脆弱性をベンダーに通知し、詳細は最初の連絡から90日後に防御コミュニティに公開します。ただし、ベンダーが修正プログラムをリリースした場合は、それより早く公開します。

• Enable Securityは、ベンダーとの機密通信の確立に合理的な努力を払います。
• ベンダーのセキュリティチームまたは指定された連絡先との連絡が確立された後、Enable Securityはこのポリシーへのリンクと現在の開示予定日とともに、脆弱性の完全な詳細を伝えます。
• Enable Securityは、発見された脆弱性の重要性をベンダーが理解するための合理的な支援を提供します。
• ベンダーが7日以内に最初の連絡を確認しない場合、ベンダー組織内の適切な連絡先を確立するために、異なるチャネルを通じてさらなる試みが行われます。
• 最初の連絡から30日経過してもベンダーから確認が得られない場合、30日後に完全開示を行う旨を伝える最終連絡が行われます。
• さらに30日が経過し、最初の開示から90日となった時点で、Enable Securityは脆弱性を公開します。

90日の期限は以下のように変更される場合があります：

• 期限が週末または米国/ドイツの祝日に当たる場合、期限は次の通常の営業日に繰り越されます。
• 90日の期限が切れる前に、ベンダーが期限から14日以内にリリース予定のパッチの具体的な日付を通知した場合、私たちはパッチが利用可能になるまで公開を延期します。パッチが14日の猶予期間を超えてさらに延期された場合、私たちは脆弱性を公開する権利を留保します。
• 私たちは、積極的に悪用されているソフトウェアにおける未知かつ未修正の脆弱性（「0day」）を観測した場合、7日以内というより緊急の対応が適切であると考えます。この特別な指定の理由は、積極的に悪用されている脆弱性が公開されず未修正のままである日が続くほど、より多くのデバイスやアカウントが侵害されるためです。7日間は厳しいスケジュールであり、一部のベンダーにとって製品を更新するには短すぎるかもしれませんが、サービスの一時的な無効化、アクセスの制限、詳細情報を得るためのベンダーへの連絡などの可能な緩和策に関するアドバイスを公開するには十分な時間であるはずです。その結果、パッチや勧告なしに7日が経過した場合、私たちはユーザーが身を守るための措置を講じられるよう、研究者が詳細を公開することを支援します。

いつものように、私たちは極端な状況に基づいて期限を前倒しまたは延長する権利を留保します。私たちはすべてのベンダーを厳格に平等に扱うことに引き続きコミットしています。Enable Securityも同じ基準で評価されることを期待しています。

このポリシーはGoogleのポリシーに基づいており、セキュリティバグに対する業界の対応時間を改善したいという私たちの願いと強く一致していますが、期限をわずかに過ぎたバグに対してもより寛容な着地をもたらします。

セキュリティ、研究、プロジェクトに関するEnable Securityの最新ニュース、研究、進展については、私たちのブログをご覧ください。