公式メールアドレスに関する重要なお知らせ

SINEXCELは、安全で信頼できる連絡環境の維持に努めています。当社名を不正に使用したなりすまし、詐欺行為、虚偽情報の発信については、法令に基づき法的措置を講じる権利を留保します。

当社製品の利用中に潜在的な脆弱性を発見した場合、または脆弱性が存在する可能性があると判断した場合は、本方針に従って、できるだけ早く当社へご報告ください。当社は、報告された問題を担当者が確認、分析、対応し、報告者へ回答します。

2.2 対応の流れ

1. 報告者から脆弱性に関する詳細情報を受領します。
2. SINEXCELが受領した情報を確認し、脆弱性の検証および評価を行います。
3. 脆弱性を修正し、製品上で修正結果を検証します。
4. 更新用の新しい製品バージョンを公開します。
5. 対応結果を報告者へ連絡します。
6. 更新後の製品の安定性を監視します。

2.3 確認および評価期間

1. 報告の受領後3営業日以内に受領確認を行い、初期評価を開始します。
2. 7営業日以内に評価を完了し、脆弱性を修正するか、対応計画を策定します。

2.4 修正期間

評価完了後の修正期間は、原則として次のとおりです。

- 緊急（Critical）：3営業日以内
- 高（High）：7営業日以内
- 中（Medium）：30営業日以内
- 低（Low）：60営業日以内

環境またはハードウェア上の制約がある脆弱性については、実際の状況に応じて修正時期を決定します。重大な影響を及ぼす脆弱性については、緊急セキュリティ情報を別途発行します。

3. 脆弱性の評価基準

当社は、脆弱性を緊急、高、中、低の4段階に分類します。報告された脆弱性には、ISO/IEC 30111を参考に社内対応を行い、共通脆弱性評価システムCVSS 3.1に基づいてスコアを付与します。

3.1 緊急（Critical）

次のような脆弱性を緊急レベルとして取り扱います。

1. サーバー、クライアントまたはスマートデバイスのシステム権限を遠隔から直接取得できる脆弱性。任意コード実行、任意コマンド実行、WebShellのアップロードおよび実行などを含みます。
2. 保護措置を回避した任意のアカウントのパスワード変更やログインなど、基幹業務システムの重大な論理設計上の欠陥。
3. 基幹データベースに対するSQLインジェクションなど、オンライン業務システムに重大な情報漏えいを直接引き起こす脆弱性。
4. 利用者の操作を必要とせず、多数の利用者へ直接影響するモバイル端末の遠隔コード実行脆弱性。
5. インターネット環境から、利用者の操作を必要とせずデバイスの実行権限を遠隔取得できる脆弱性。他の利用者のデータ取得やデバイスへの遠隔アクセスなどを含みます。

3.2 高（High）

次のような脆弱性を高レベルとして取り扱います。

1. 基幹システムのソースコードやサーバー上の機密ログファイルの漏えいなど、オンラインサーバー上の機密情報が直接漏えいする脆弱性。
2. 他人の認証情報を利用して基幹業務システムのすべての機能を操作できる脆弱性、または重要な操作や機密性の高い操作を権限なく実行できる脆弱性。
3. 管理画面へ不正にアクセスし、管理者機能を利用できる脆弱性。評価時には、対象プラットフォームの利用状況、利用者数、機能の重要度、利用者情報の機密性を考慮します。
4. 直接悪用できる機密データの漏えい、大量の本人識別情報の漏えいなど、危険度の高い情報漏えい脆弱性。
5. SINEXCELの内部ネットワークへアクセスでき、応答内容を取得可能なSSRF脆弱性。
6. 第三者のアプリケーションがモバイルクライアントの機能をアプリケーション間で利用し、ファイル、SMS、クライアントデータの読み書きなどの危険な操作を実行できる脆弱性、または機密性の高い情報が漏えいする脆弱性。
7. 近距離通信またはLANを経由し、デバイスの実行権限を取得できる脆弱性。他の利用者のデータ取得やデバイスへの遠隔アクセス、利用者の操作を必要としない遠隔コマンド実行などを含みます。
8. デバイスを遠隔から恒久的なサービス拒否状態にできる脆弱性。物理的にデバイスへ接触せず、複数のデバイスに短時間で攻撃を展開でき、デバイスが使用不能になる、恒久的に損傷する、またはシステム全体の再書き込みが必要になるものを含みます。

3.3 中（Medium）

次のような脆弱性を中レベルとして取り扱います。

1. モバイルクライアントにおけるパスワードの平文保存、サーバーまたはデータベースの機密情報を含むソースコード圧縮ファイルの取得など、一般的な情報漏えい脆弱性。
2. 温度保護ロジックの設計不備など、システムに存在する論理設計上の欠陥。
3. 応答内容を取得できないSSRF脆弱性。
4. 利用者の操作を通じて本人識別情報を取得できる脆弱性。重要操作に関するCSRF、格納型XSS、機密情報を対象としたJSONPハイジャックなどを含みます。
5. オンラインアプリケーションの一部機能を使用不能にする遠隔サービス拒否脆弱性。他の利用者にも影響することを確認できるものに限ります。
6. スマートデバイスをサービス拒否状態にする脆弱性。ローカル攻撃による恒久的なサービス拒否、遠隔攻撃による一時停止または再起動など、一時的なサービス拒否を引き起こし、複数のデバイスに短時間で攻撃を展開できるものを含みます。
7. 一般業務システムにおいて、他人の認証情報を使用し、権限を超えてすべての機能を操作できる脆弱性。

3.4 低（Low）

次のような脆弱性を低レベルとして取り扱います。

1. URLリダイレクトなど、フィッシング攻撃に悪用される可能性がある脆弱性。
2. 危険度の低い論理設計上の欠陥。
3. パス情報、Git関連ファイル、サーバー側の業務ログなど、軽微な情報が漏えいする脆弱性。
4. 任意のURLへの転送や反射型XSSなど、フィッシングまたは不正アクセスに悪用される可能性がある脆弱性。
5. モバイル端末におけるローカルサービス拒否や、個別の利用者だけに影響する軽微な情報漏えいなど。
6. デバイスを一時的なサービス拒否状態にする脆弱性。ローカル攻撃によって発生し、復旧に工場出荷時設定への初期化が必要となるものを含みます。

3.5 対象外となる報告

次の問題または報告は、本方針に基づく脆弱性対応の対象外となります。

1. ウェブページの表示が遅い、レイアウトが崩れているなど、セキュリティと関係のない不具合。
2. 報告内容が不十分で再現できない問題。脆弱性の確認担当者と複数回連絡しても再現できないものを含みます。
3. 悪用できない、または実質的な被害がない問題。利用者への影響がないCSRF、他の利用者へ影響しないローカルサービス拒否、Self-XSS、PDF XSS、内部IPアドレスやドメイン名など機密性のない情報の漏えい、メールボムなどを含みます。
4. 実質的な影響を伴わないソースコードの漏えい。
5. ハードウェア製品に含まれるSINEXCEL以外のモジュールのセキュリティ問題、またはハードウェア自体の欠陥。
6. SINEXCELが自主的に公開した、またはすでに外部へ公開されているセキュリティ問題。
7. 保守を終了した製品、アプリケーションまたはウェブアプリケーションに関するセキュリティ問題。
8. SINEXCELが社内で把握し、すでに修正している脆弱性。
9. 第三者コンポーネントの権限に起因するサービス拒否。

SINEXCELへ提供された製品の脆弱性に関する情報には、脆弱性報告書に含まれるすべての情報が含まれます。提供された情報はSINEXCELに帰属し、SINEXCELが利用できるものとします。

SINEXCELは、本方針を随時変更する権利を留保します。