脆弱性の開示

弊社では、お客様の大切なデータを保護するためにあらゆる対策を講じ、弊社プラットフォームにおける潜在的なセキュリティ脆弱性の排除を徹底しています。しかしながら、セキュリティ研究者やお客様によって、混入した脆弱性が発見される可能性があります。

万が一、脆弱性を発見された場合は、責任ある開示として、弊社セキュリティ部門にご報告をお願いいたします。プラットフォームのセキュリティ強化、およびお客様のデータ保護のため、然るべき対応をさせていただきます。

弊社プラットフォームでセキュリティ脆弱性を発見されましたら、脆弱性に関する詳細、およびお客様のご連絡先情報を明記の上、弊社セキュリティ部門（[email protected]）までご連絡ください。なお、追加の情報が必要になる場合は、担当者よりご連絡をさせていただく場合がございます。

Kinstaには脆弱性報奨金制度はありますか？

脆弱性報奨金制度はございません。

脆弱性報奨金（バグバウンティとも）制度は、重要な脆弱性の発見につながる可能性がありますが、本来の目的であるセキュリティ強化よりも、金銭的な利益を目的としている一部のセキュリティ研究者に注目される傾向にあります。これを踏まえ、弊社ではセキュリティ脆弱性の開示に対する報酬はご用意しておりません。

セキュリティ脆弱性の開示報告はどのように扱われますか？

弊社セキュリティ部門は、ご報告いただいたセキュリティ脆弱性の報告を毎日確認しています。各報告を評価した上、実際に脆弱性が存在するかどうかを検証しています。

脆弱性が実際に発見された場合は、早急に脆弱性解消に取り組みます。

なお、セキュリティ脆弱性の開示後、より詳細な情報を収集するため、お客様にご連絡させていただく場合がございますが、すべてのご報告に対してのお返事は保証しておりませんことをご了承ください。

AIを活用した脆弱性の発見について

Kinstaでは、AIを活用した脆弱性発見ツールによって、自社の製品やサービスに対するリスクが高まる可能性について検討していますか？

弊社では、継続的なセキュリティ対策および脆弱性管理の一環として、AIを活用した脆弱性発見技術の動向を注視しています。

AIツールの普及により、発見される脆弱性の件数は増加しており、これまで発見までに時間を要していた可能性のある新しい種類の脆弱性が見つかるケースもあります。一方で、同様の変化は弊社にも当てはまります。弊社のエンジニアリングおよびセキュリティのワークフローは以前よりも大幅に効率化されており、脆弱性が発見された際には、評価、優先順位付け、そしてインフラ全体への修正の展開を、これまで以上に迅速に実施できます。

このように、脆弱性の発見件数は増えている一方で、修正対応のスピードも全体的に向上しています。そのため、弊社のプラットフォームおよびお客様に対する全体的なリスクは変わっていません。以前よりも多くの脆弱性を発見し、多くの問題を修正し、その対応もこれまで以上に迅速に行っています。

リスクはどのように特定、優先順位付け、修正、追跡されますか？

脆弱性は、その発見方法や報告元にかかわらず、すべて以下のプロセスに従って対応します。

• 報告された問題の特定および検証
• 深刻度とお客様への潜在的な影響に基づくリスクベースの優先順位付け
• 標準的なエンジニアリングおよびセキュリティのワークフローに基づく修正対応
• 解決および修正内容の検証が完了するまでの追跡管理

また、AIを活用した技術を含め、新たなセキュリティ技術や脅威について継続的に評価しています。社内でAIを利用する場合は、弊社のAIポリシーに従って運用されています。

さらに、自動化された悪意のあるトラフィックへの対策にも継続的に投資しており、ボット対策機能などを通じて、さまざまな自動化攻撃に対するリスクの軽減に取り組んでいます。

お客様向けサービスに影響するAI関連の脆弱性は確認されていますか？

弊社では、他のプラットフォームと同様に、通常のセキュリティ運用の一環として脆弱性を継続的に特定し、修正しています。また、プラットフォームのセキュリティ強化につながる改善点を見つけるため、実績のあるセキュリティテスト手法に加え、エンジニアリングの一部でAIを活用したツールも利用しています。

問題が発生した場合には、迅速に対応できる体制を整えています。報告を受けて対応するだけでなく、継続的な監視やテストを通じて、問題を未然に発見・対処する取り組みも行っています。万が一、お客様への通知や対応が必要となる事態が発生した場合は、弊社の標準的なインシデント対応およびお客様への通知プロセスに従って対応します。