バージョン 1.0 ｜ 発効日 2026-08-21

本書は参考訳です。中国語版を正式版とします。

本ポリシーは二部構成です。私たちが他者のシステムに脆弱性を発見した場合の対応(第一部)と、Odysec のシステムに脆弱性を発見した場合の報告方法(第二部)。

---

第一部 — 私たちが脆弱性を発見した場合

1. 基本姿勢

Odysec は協調的開示(coordinated disclosure)を採用します。最終的な公開はユーザーの利益になりますが、その前にベンダーへ妥当な修正期間を与えるべきと考えます。

私たちは脆弱性を販売しません。 発見した脆弱性をブローカー・政府機関・その他第三者に売却せず、影響を受けるベンダーにのみ報告し、期限到来後に技術的詳細を公開します。

2. タイムライン

期限は報告送付日から起算します。未読・社内転送・担当者交代によって停止しません。

3. プロセス

1. 報告 — ベンダーのセキュリティ窓口(security.txt → 報告ページ → SECURITY.md → 一般窓口の順で探索)へ暗号化して送付。技術的詳細・再現手順・影響評価・当方の連絡先を含む。
2. 受領確認 — 14 日以内の受領確認を依頼。
3. 調整 — 修正スケジュールと公開時期を協議。具体的進捗があれば合理的な延長に応じる。
4. CVE — MITRE または該当 CNA へ採番申請。
5. 公開 — 原理と対策を説明する技術報告を公表。即座に使用可能な攻撃ツールは公開しない。

4. 早期公開

以下の場合、期限前の公開の権利を留保します。

• 脆弱性が実際に悪用されており、ユーザーが自衛のため直ちに知る必要がある;
• 詳細が第三者により公開・流出した;
• ベンダーが脆弱性の存在を公に否定し、または報告者へ法的威嚇を行った;
• ベンダーが修正しないと表明し、かつユーザーへの継続的リスクが存在する。

5. 私たちが行わないこと

• 報告前にいかなる詳細も公開しない;
• 公開を盾に対価を要求しない(ベンダーが自発的に提供するバグバウンティは受領し、報告書で開示する);
• 検証に必要な範囲を超えるデータへアクセスしない。誤ってユーザーデータに触れた場合は直ちに停止・通知・破棄する;
• 本番環境への破壊的テストを行わない。

---

第二部 — Odysec のシステムへの脆弱性報告

6. セーフハーバー

本ポリシーに誠実に従って報告いただいた場合、Odysec は以下を約束します。

• 報告者に対する民事・刑事上の追及を行わず、警察への通報もしない;
• 第三者が報告者を訴えた場合、本ポリシーに基づく正当な研究であったことを表明する;
• 謝辞への掲載は、実名・匿名を報告者の意向に従う。

7. 対象範囲

対象:Odysec 管理下のドメインとそのサブドメイン、公開しているツールとコード、公開サービス。

対象外:第三者サービス(私たちが利用中のものを含む)、ソーシャルエンジニアリング、メンバー個人アカウントへの攻撃、物理侵入、DoS/DDoS、自動スキャンによる低品質な報告。

8. 許可事項と禁止事項

許可:非破壊的なテスト、自分のテストアカウントのみの使用、脆弱性確認後の即時停止と報告。

禁止:他者データの閲覧・改変・削除、サービスの中断や性能低下、合意前の公開、研究以外の目的での利用。

9. 報告方法

• メール:security@odysec.org
• PGP:フィンガープリント 1360 6273 6DFC 9D4B C9A1 5312 6FD4 6C88 46C0 DA1B、公開鍵は https://odysec.org/pgp-key.txt
• 応答:3 営業日以内に受領確認、10 営業日以内に初期評価。
• 謝辞:有効な報告は謝辞リストに掲載(匿名可)。現時点で金銭的報奨制度はありません。

---