脆弱性の取り扱いおよび開示に関するポリシー

POWER ELECTRONICS (PE) は、自社製品に潜在する脆弱性を報告するための明確かつ安全な窓口を提供し、それらの脆弱性の取り扱いおよび開示に関する同社の責務を定めることを目的として、本ポリシーを策定しました。本ポリシーは、欧州規則 (EU) 2024/2847（サイバーレジリエンス法）および (EU) 2022/2555（NIS2指令）を遵守するものです。

本ポリシーは、POWER ELECTRONICS (PE) が製造・販売するデジタル要素を含む製品、およびそれらの製品の一部として運用されるデジタルサービスに適用されます（対象製品については別紙を参照）。

以下は、本ポリシーの適用範囲から明示的に除外されます。

  • POWER ELECTRONICS (PE) の社内インフラストラクチャ。
  • 製品サービスに関連しない外部のウェブサイトおよびアプリケーション。
  • 第三者が運営するサービス（POWER ELECTRONICS (PE) に関連するものであっても同様）。
  • 耐用年数を経過した機器。

Power Electronicsは、本ポリシーに従って脆弱性を報告した個人または法人に対し、所定の条件がすべて満たされている限り、民事上の法的措置を講じたり、刑事手続きの開始を求めたりしないことを約束します。以下に定める条件のいずれか一つでも遵守されなかった場合、この保護は自動的に失効します。

  • 調査は誠実に行われるものとし、その目的は、サイバーセキュリティ上の脆弱性を特定し、それを修正することのみに限られます。産業スパイ行為、競争上の優位性の獲得、恐喝、脅迫、その他製品のセキュリティ向上とは無関係な目的で行われる活動は、本保護の対象外となります。
  • 当該活動は、個人情報保護、営業秘密、知的財産、コンピュータへのアクセス、ならびにネットワークおよび情報システムのセキュリティに関する法令を含む（ただしこれらに限定されない）、適用されるすべての法令を遵守する。
  • 研究者は、脆弱性の存在を特定および検証するために厳密に必要な手法のみを用い、脆弱性を文書化するのに十分な最小限の概念実証（PoC）を得た時点で、直ちにすべての悪用活動を停止する。
  • 当該テストは、いかなる人物の安全、電力網やエネルギーインフラの安定性または可用性、あるいは顧客、事業者、または第三者に帰属するデータ、システム、もしくはサービスの可用性、完全性、機密性を損なうものではないこと。また、
  • 研究者は、Power Electronicsへの事前の通知義務や所定のエンバーゴ（情報公開猶予）期間の遵守を含め、以下に定めるすべての開示条件に従うこと。

1. 報告

対象製品リストに記載された製品に起因する脆弱性を報告するために、以下の報告窓口が設けられています。

報告には、以下の情報を含める必要があります。

  • 影響を受ける製品、およびファームウェアまたはソフトウェアのバージョン。
  • 脆弱性の説明、および再現手順に関する情報（概念実証（PoC）、スクリーンショット、ログなど）。

報告の際は、Power Electronicsが公開しているPGP鍵を使用して暗号化を行うことができます。

2. 分析および対応

POWER ELECTRONICS (PE) は、受け取った報告を分析し、当該脆弱性について技術的な検証を行います。この検証には、情報の機密性・完全性・可用性、知的財産、およびサービス継続性に対する影響の評価に加え、悪用の可能性や運用上のコンテキスト（状況）の検討が含まれます。脆弱性が確認された場合、パッチの作成や緩和策の策定が行われます。POWER ELECTRONICS (PE) は、調査および是正措置の進捗状況について、報告者に対して適宜アップデートを提供します。

3. 開示

脆弱性の開示は、本ポリシーに定められたエンバーゴ（情報公開猶予）期間および開示条件に従い、報告者と調整の上で行われます。影響を受ける顧客、および脆弱な製品が導入されている設備の運用者には、直接通知が行われます。関連するセキュリティ通知は、ENISA（欧州ネットワーク・情報セキュリティ機関）の公式ウェブサイトに掲載されるほか、必要に応じて、調整役として指定されたCSIRT（コンピュータセキュリティインシデント対応チーム）を通じて公表されます。セキュリティアップデートやその他の是正措置が利用可能になり次第、Power Electronics社はENISAと合意の上、当該脆弱性に関する情報を、指令(EU) 2022/2555の第12条第2項に基づき構築された欧州脆弱性データベースに登録します。脆弱性の開示には、以下の情報が含まれます。

  • CVE参照番号およびCVSSスコアを含む、脆弱性の説明。
  • 影響を受ける製品、ならびにソフトウェア／ハードウェアのバージョン。
  • 緩和策および修正措置。

開示に関する条件

事前の通知義務 研究者は、発見した脆弱性を第三者に開示する前、いかなる媒体（フォーラム、ソーシャルメディア、カンファレンス、公開リポジトリ、学術出版物などを含む）においても公表する前、あるいはPower Electronics社や調整役として指定されたCSIRT以外の者にその情報を共有する前に、以下の「報告」セクションに記載された連絡手段を通じて、当該脆弱性についてPower Electronics社に報告しなければならない。

メーカー主導の協調的開示 本ポリシーに基づき報告された脆弱性について、所定の協調的開示期間中、Power Electronicsは最初に公開開示を行う権利を有する。研究者は、以下のいずれかの時点に達するまで、当該脆弱性に関する情報を公開してはならない。(a) Power Electronicsがセキュリティアドバイザリを発行するか、その他の方法で当該脆弱性を公開開示した時点、(b) Power Electronicsが当該脆弱性の修正完了を書面で確認し、協調的開示を許可した時点、または (c) 所定の協調的開示期間が終了した時点。

公開制限期間 研究者は、Power Electronicsが報告を受領したことを確認した時点から少なくとも90暦日間は、当該脆弱性に関する情報を公に開示してはならない。ただし、Power Electronicsが書面により早期開示を許可した場合はこの限りではない。修正の複雑さ、設置・運用事業者との調整の必要性、あるいは重要インフラに導入された機器へのアップデート配布といった事情により、Power Electronicsがこの期間の合理的な延長を求める場合がある。

重要インフラのリスクに関する情報公開猶予期間の延長 報告された脆弱性が、電力網の安定性、エネルギー貯蔵設備の安全性、または電気自動車（EV）充電インフラの可用性に影響を及ぼす可能性がある場合、かつ、その是正措置に電力網運用事業者、設備所有者、または規制当局との調整が必要であることをPower Electronics社が合理的に立証できる場合、情報公開猶予期間は自動的に30暦日延長される。ただし、この延長を含めた猶予期間は、最初の報告から最大120日を上限とする。

開示が許可される範囲 エンバーゴ（情報公開猶予）期間が終了した後、研究者は、脆弱性の概要およびその潜在的な影響について公表することができる。また、Power Electronics社に通知済みであること、および（該当する場合）セキュリティアップデートがリリースされていることについても公表できる。ただし、研究者は以下の情報を開示してはならない。(a) 実際に機能するエクスプロイトコード、攻撃ツール、または攻撃の成立を実証する概念実証（PoC)。(b) セキュリティアップデートが適用されていない機器に対して攻撃を再現できてしまうような、詳細な技術情報。(c) 研究の過程で取得したデータ、認証情報、設定内容、ネットワーク構成、その他一切の情報（ただし、脆弱性の概要を一般的な表現で説明するために必要不可欠な範囲の情報を除く）。

取得情報の機密性 研究活動の結果として取得されたすべての技術情報、データ、構成、認証情報、暗号鍵、およびその他のあらゆる情報は、機密情報として取り扱われるものとする。研究者は、脆弱性に関する報告を行い、Power Electronics社によってその受領が確認された後は、当該脆弱性報告を記録するために不可欠である場合を除き、当該情報のすべてのコピーを安全かつ復元不可能な形で削除しなければならない。