Eloへのセキュリティ脆弱性または問題の報告方法

報告に含めるべき情報

調査を迅速に行うために、次の情報を提供してください:

• あなたのフルネームと連絡先情報
  (メールが望ましいですが、フォローアップに使える方法であればいずれでも構いません。)

• 問題の詳細な説明、以下を含む:

  • 影響を受けるEloサービス、製品、またはシステムの名前

  • ソフトウェア名、説明、およびバージョン番号（該当する場合）

  • 問題を再現するためのステップバイステップの手順

  • 脆弱性の技術的説明（可能であれば概念実証を含む）

  • 問題の潜在的な影響またはリスク

  • 脆弱性の検証と解決に役立つ可能性のあるその他の関連情報

脆弱性開示ポリシー

責任ある報告ガイドライン

Eloは、顧客や広範なコミュニティからの貢献を重視し、当社の製品とサービスのセキュリティ向上に役立てています。潜在的な脆弱性を特定した場合は、責任をもって行動し、以下のガイドラインに従うようお願いします:

• Eloのシステム、サービス、製品、またはソフトウェアに適切な承認なしにアクセス、変更、またはテストしないでください。

• 調査中に遭遇したデータを開示、変更、破壊、または不正使用しないでください。

• 報告された問題に関連するすべての情報を厳密に機密扱いし、Eloとの通信を含みます。

• サービス拒否（DoS）攻撃や、Eloシステムの可用性、整合性、または機密性に影響を与える可能性のあるテストを避けてください。

• Eloの顧客や従業員を狙ったソーシャルエンジニアリング、フィッシング、または同様の活動に従事しないでください。

• 注意: Eloは、承認されていないテストや調査中に発見された脆弱性に対して時間に対する補償を提供しません。

脆弱性対応プロセス

Eloは、報告されたセキュリティ脆弱性を評価し、対処するための構造化されたプロセスに従っています。

初回の受領確認の後、Eloは報告された脆弱性が次のいずれかであるかを確認するために30日以内に応答するよう合理的な努力をします:

• 検証され、受け入れられた、または
• 拒否された
  • 脆弱性が受け入れられた場合、Eloは拘束力のない提案された緩和のタイムラインを提供する場合があります。
  • 脆弱性が拒否された場合、Eloは拒否の理由を提供し、提供された追加情報をレビューすることに対してオープンであり続けます。

脆弱性が確認され、受け入れられた場合、Eloのエンジニアは適切なハードウェアおよび/またはソフトウェアの緩和策を開発するために作業します。

Eloは、初回受領確認から90日以内に分析を完了し、ソフトウェアの緩和策を実施することに努めています。しかし、緩和策の実際のリリースは、以下の要因によりこの期間を超える場合があります:

• 上流ベンダーが異なる問題解決のタイムラインを持つ場合
• 実質的なハードウェアまたはアーキテクチャの変更が必要な場合
• 製品ライフサイクルまたはリソースの制限
• 複数の流通チャネルやエコシステム間の統合

Eloは、独自の裁量で、影響を受ける製品の緩和策が完了したことを公表するためのセキュリティ公告を定期的に発行することがあります。

最新のセキュリティアップデート