脆弱性の開示

はじめに

深センZolon Technology Co., Ltd.(「ZOLON」または「当社」)は、製品とサービスのセキュリティ向上に取り組み、お客様のネットワークとサービスの安全な運用を全面的に支援します。当社は、セキュリティ研究者、業界団体、顧客、サプライヤーの皆様に対し、ZOLONの公開資産に関連する疑わしい脆弱性を報告することを推奨します。ZOLONは、報告された疑わしい脆弱性を処理するためのプロセスを確立しています。

セキュリティ研究者はユーザーの利益を最優先し、ユーザーのプライバシーを尊重する必要があります。ZOLONは、関連する関係者が合法的な方法で脆弱性を発見・報告することを奨励し、脆弱性の理解、確認、適切な解決のためにセキュリティ研究者と協力することを約束します。ZOLONに脆弱性情報を提出する前に、ZOLON以外の誰にも脆弱性情報を開示してはなりません。ZOLONの書面による同意なしに公開することは、本プログラムの利用条件に違反します。

ZOLONは報告者に対し、責任ある開示方針に従うよう求めます。すなわち、セキュリティ脆弱性を完全に開示する前に非公開で当社に通知し、当社が脆弱性を解決してユーザーへの全体的なリスクを最小化できるようにすることです。プロセス全体を通じて、ZOLONは情報の配布を厳格に管理します。ZOLONは、修正が完了するまで報告者に脆弱性の機密を保持するよう要求します。

処理プロセス

特定

→

検証

→

Fix

→

公開

1. 特定

ZOLONの製品またはソリューションに影響する潜在的な脆弱性を報告するには、以下のセクションに記載された方法でZOLONに連絡してくださいお問い合わせ。

特に、潜在的な脆弱性を報告する際は、メールの件名に [VULNERABILITY] を含めてください。提出内容が不完全、不正確、重複、または虚偽の場合、ZOLONは処理しません。

必要情報(以下の疑わしい脆弱性の報告用テンプレート):

デバイスを入手した経路;
影響を受ける製品/サービス(モデル名、シリアル番号(SN)、ハードウェアバージョン(PN)、オペレーティングシステムまたはソフトウェアバージョンを含む);
脆弱性の概要(問題の説明と脆弱性の種類を含む);
影響(任意のコード実行、情報漏えいなど)と重大度の評価;
技術的な詳細と問題を再現する手順;
概念実証(PoC)またはその他の実質的な証拠;
攻撃シナリオの説明(前提条件、トリガー、被害者とのやり取りが必要かどうかを含む);
緩和策の推奨事項。

ZOLONは通常、完全かつ正確な報告に対して5営業日以内に回答します。返信がない場合は、当社のメールがスパムとしてマークされていないかご確認ください。

2. 検証

ZOLONは潜在的な問題を調査し、再現します。

検証プロセスは通常10営業日以内に完了します。潜在的な問題の複雑さによっては、必要に応じて最大1か月延長される場合があります。

3. Fix

ZOLONは、関連するセキュリティチームおよび開発チームと連携して社内の脆弱性対応を行い、影響を受ける製品またはソリューションについて、脆弱性の緩和および復旧計画を維持します。

このフェーズの期間は、リスクレベル、影響、難易度によって異なります。

4. 公開

該当する場合、パッチや修正は通常のリリースチャネルを通じて提供されます。

お問い合わせ

当社の製品またはソリューションに関連するセキュリティ問題についてZOLONに連絡するには、以下のメールアドレスに送信してください: VulnerabilityDisclosure@szzolon.com

英語または中国語のメールのみ受け付けていることにご注意ください。

当社の公開PGPキー(キーID: 21B0 226B; フィンガープリント: D0E2 92E3 C558 C441 C31A E973 EFDB 5A1C 21B0 226B)を使用してレポートを暗号化してください。

免責事項

上記の諸条件にかかわらず、ZOLONは脆弱性レポートの特定と評価(脆弱性の有効性、レポートの受付資格、脆弱性の重大度などを含みますが、これらに限定されません)に関する最終的な解釈権を留保します。また、ZOLONは、違法なテストおよび開示について、適用される法令に基づき法的責任を追及する権利も留保します。