SECOのハードウェア、ファームウェア、またはソフトウェア製品にセキュリティ上の脆弱性があると思われる場合は. [email protected] までご報告ください。

弊社が問題をできるだけ迅速に評価・対応できるよう、可能な範囲で以下の情報を併せてご提供ください：

  • 影響を受ける製品名およびバージョン；
  • 脆弱性の詳細および想定される影響；
  • 必要な設定または前提条件；
  • 問題を再現するための手順；
  • 概念実証（PoC）資料、スクリーンショット、または関連するログ。

報告は英語またはイタリア語で行ってください。

この連絡窓口は、SECO製品および関連ソフトウェアに影響を及ぼす脆弱性を対象としています。プライバシーに関する事項、商用サポート、または一般的なITサポートについては、SECOの各連絡窓口をご利用ください。

報告を送信いただいた後、SECOでは以下の対応を行います。

  • 報告の受領確認を行います。
  • 関連する製品のセキュリティ担当者と社内で連携し、問題を評価し、可能な場合は再現を試みます。
  • 評価の進捗状況について随時お知らせします。
  • 適切な是正措置を講じるよう努めるとともに、公表のタイミングについてはお客様と調整を行います。

問題を公に開示したり、第三者に通知したりする前に、調査および修正を行うための妥当な期間をいただくようお願いいたします。

弊社では、報告の受領確認を5営業日以内、初期の優先度判定を10営業日以内に完了することを目指しています。修正作業に集中できるよう、進捗状況のお問い合わせは14日に1回までとさせていただきます。

脆弱性を調査する際は、以下の点にご留意ください。

行うべきこと：

  • 誠実に行動し、適用されるすべての法令および規制を遵守すること；
  • 自身が所有している、またはテストを行う権限が与えられている製品やシステムのみを対象にテストを行うこと；
  • 非破壊的な概念実証（PoC）の手順を用い、問題が実証された時点で直ちに中止すること；
  • 調査中に遭遇した個人情報や機密データを保護し、必要以上に長期間保存しないこと。

以下の行為は行わないでください：

  • 自身に帰属しないデータへのアクセス、変更、削除、または持ち出しを行わないこと。また、問題を実証するために必要な範囲を超えてデータにアクセスしないこと；
  • サービス拒否（DoS）攻撃、破壊的なテスト、ソーシャルエンジニアリング、フィッシング、または物理的攻撃を行わないこと；
  • SECOが対応するための合理的な機会を得る前に、脆弱性を公に開示したり、第三者に開示したりしないこと；
  • 報告と引き換えに、金銭やその他の報酬を要求しないこと。

SECOは、善意に基づき、本ポリシーに沿って行われるセキュリティ調査を歓迎します。本ポリシーに従って調査を行っていただいた場合、当社は問題の解決に向けて協力し、調査を行った方に対して法的措置を講じることはありません。常に法令を遵守し、他者のプライバシーおよび権利を尊重してください。

本ポリシーやSECOの製品セキュリティについてご質問がございましたら. [email protected]  までご連絡ください。