対象範囲が不明確 · 根拠の弱い報告 · 受領連絡の遅れ · 深刻度評価のばらつき
解決できる課題
研究者が信頼でき、開発チームが行動に移せるプログラムを構築します。
届いた報告を統制されたワークフローに変えます。各報告に担当、技術判断、深刻度の根拠、連絡履歴、完了状態を付与します。 実際にテストを許可するシステム、リリース工程、修正を担うチームの対応能力に合わせてプログラムを運用します。
プログラムの対象範囲
セーフハーバー
技術トリアージ
研究者との連絡
プログラム設計 · ポリシーとセーフハーバー · 研究者対応 · 技術トリアージ
手法と対応範囲
プログラム設計 covers 公開・非公開モデルと開始計画 · 資産台帳、対象条件、テスト境界 · 報奨設計、深刻度区分、応答目標 · 重大または悪用中の脆弱性に対するエスカレーション経路.
プログラム設計 公開・非公開モデルと開始計画
ポリシーとセーフハーバー 平易な言葉で記載した脆弱性開示ポリシー
研究者対応 報告受付、受領確認、状態連絡
技術トリアージ 再現確認と概念実証の検証