ベントレー・システムズでは、すべての調査担当者に以下を求めます

• セキュリティ検査中のプライバシー侵害やユーザー体験の低下、本番システムの中断、データの破壊を回避すること。
• 以下に示す範囲内でのみ調査を行うこと。
• 脆弱性の報告に、以下に定義するコミュニケーションチャネルを使用すること。
• 発見したいかなる脆弱性の情報も、修正されるまではお客様とベントレー・システムズによる機密とすること。

• 調査に関連した法的措置を取ったり、支援したりしないこと。
• 問題を迅速に理解し解決するためにお客様に協力すること。

このポリシーに準拠して脆弱性の調査を実施する際、本調査を以下とみなします

• コンピュータ詐欺および不正利用防止法（CFAA）（または類似州法）に準拠したもので、本ポリシーの偶然、善意の違反に対して法的措置を開始または支援しないもの。
• デジタルミレニアム著作権法（DMCA）の適用を除外されたもので、技術管理の回避を理由にお客様に対して請求しないもの。
• セキュリティ調査実施を妨げる利用規約の制限を受けないもので、本ポリシーに基づいて行われる作業について限定的に免除するもの。
• 合法であるもので、インターネットのセキュリティ全体に寄与し、誠実に実施されるもの。

通常通り、適用されるすべての法律を遵守することが求められます。セキュリティ調査が本ポリシーに合致しているかに懸念がある場合はいかなる時でも、先に進む前に、以下に示すコミュニケーションチャネルの1つを使ってレポートを提出してください。

製品またはプラットフォームのうちの1つにセキュリティの脆弱性を見つけたと思われる場合、本ページの書式に記入してください。

以下の情報が含まれていることを確認してください：

• URL、完全なHTTPリクエスト/リスポンス、脆弱性のタイプなど脆弱性の詳細の説明。
• 問題を再現するための情報。
• 該当する場合、脆弱性のスクリーンショット1つ、および/あるいは動画。
• 連絡先情報、氏名、Eメール、電話番号、場所。本情報のない提出については考慮されません。
• 重要な注意点初回に限りフォームを通じて提出します。フォームで言及されていない質問がある場合は、security@bentley.comにEメールを送信してください。

• DoCは厳禁となります。
• いかなる形式の認証の総当たりは厳禁となります。
• 報告された脆弱性を修正前に公表することは禁じられています。
• パフォーマンスの破壊や低下、プライバシー侵害またはユーザーおよびデータのインテグリティの侵害は許されません。
• 脆弱性（一般的なPoC以外）の利用は厳禁であり、該当する法律に従い訴追されます。
• 脆弱性により、意図しないデータへのアクセスが可能となった場合は、以下を行う必要があります。
  • 概念実証を効果的に示すために必要な最小限にデータへのアクセスを制限し、
  • テストを中止し、
  • テスト中に個人を特定できる情報（PII）、個人の健康情報（PHI）、クレジットカードデータ、専有
    情報などのユーザーのデータに遭遇した場合は、すぐにレポートを提出する。
• Bentleyは、恐喝またはその他の強制的な犯罪行為（例、見つかった脆弱性を悪用しないことを引き換えとする前払いを要求。

私たちのチームにより脆弱性が解決したと通知されない限り、脆弱性について90日間は公開を控えてください。従わない場合は法的措置が取られます。

本ポリシーでは、同一または類似の問題の報告は、最初の調査担当者の報告だけが考慮されます。これには、異なる環境での同一問題（例、dev-、qa-、prod-）が含まれます。

提出物が受領されると：

• 報告された脆弱性が分析されます。
• 提出が有効であり、本ポリシー要件を満たしている場合、お客様は補償を受け取ることができます。
• 問題が修正されれば通知されます。