製品セキュリティポリシーおよび免責事項
1. 製品サイバーセキュリティへの取り組み
ARBOR Technology（以下、当社）は、産業オートメーション、医療IoT、スマート交通、およびエッジコンピューティング（Edge Computing）アプリケーションにおけるサイバーセキュリティの極めて重要な役割を深く理解しています。当社は、製品セキュリティを製品ライフサイクル管理の重要な柱と位置づけ、信頼性が高く柔軟なエッジコンピューティングおよび組み込みソリューションの提供に取り組んでいます。
セキュリティ専門家からなる専任チームは、潜在的な脆弱性を特定し、プロアクティブな（予防的な）安全対策を実施するために継続的な取り組みを行っています。これにより、ARBORのハードウェア、ソフトウェア、および統合ソリューションが進化し続けるサイバーセキュリティの脅威に耐え、お客様の資産と業務の継続性を保護することを確実にします。
2. セキュアな製品開発ライフサイクル（IEC 62443 準拠および EU CRA 対応）
ARBOR Technologyでは、製品開発のあらゆる段階にセキュリティを組み込んでいます。進化し続けるサイバー脅威に対処し、欧州サイバーレジリエンス法（EU CRA）などの今後の規制要件を満たすため、ARBORは開発および運用プロセスをIEC 62443-4-1規格に準拠させ、ハードウェアおよびソフトウェアソリューション全体において、堅牢な「セキュリティ・バイ・デザイン」および「多層防御」の基盤を確保しています。
当社のコンプライアンス体制は、CRAおよび産業セキュリティに関する主要な要件に積極的に対応しています：
- 「セキュリティ・バイ・デザイン＆デフォルト」：アーキテクチャ設計段階で脅威モデリングとリスク評価を実施し、攻撃対象領域を最小限に抑える。
- 「ハードウェアに根ざした信頼性」：セキュアブート、ファームウェアの完全性、およびオプションのTPM 2.0を徹底し、不正な改ざんから保護する。
- ソフトウェア部品表（SBOM）：包括的なSBOMの維持およびサードパーティ製コンポーネントの追跡を行い、サプライチェーンの透明性を確保し、迅速なリスク軽減を実現します。
- 継続的なライフサイクルサポート：製品の定義されたサポートライフサイクルを通じて、ARBOR PSIRTを介してタイムリーなセキュリティパッチ、脆弱性通知、および調整された情報開示を提供します。
3. 製品セキュリティインシデント対応チーム
ARBOR Technologyは、専任の製品セキュリティインシデント対応チーム（ARBOR PSIRT）を設立いたしました。この部門および地域を横断するチームは、ARBORの製品、ソリューション、サービスに関連するサイバーセキュリティの脆弱性の特定、内部連携、調査、および報告を統合的に管理します。
ARBOR PSIRTは、お客様、パートナー、セキュリティ研究者、およびベンダーの皆様がARBOR製品の潜在的な脆弱性を報告するための公式な総合窓口として機能します。当社は、広範なエッジIoTエコシステムを保護するため、透明性が高く、責任あるプロアクティブな姿勢を維持します。
製品のセキュリティ問題を発見した個人または組織は、直ちに psirt@arbor.com.tw までご連絡ください。調査を円滑に進めるため、以下の情報を含め、可能な限り詳細な情報をご提供ください。
- 組織名および担当者名
- 影響を受けるARBOR製品名およびバージョン
- 潜在的な脆弱性の詳細な説明
- 補足的な技術詳細（問題の再現手順、システム構成、トレース、パケットキャプチャのサンプルなど）
- 既知のエクスプロイト（攻撃コード）に関する情報
4. インシデント対応プロセス
ARBOR Technologyは、すべての潜在的な問題がタイムリーかつ効果的、そして透明性を持って処理されることを保証するため、厳格な5段階の脆弱性対応プロセスを採用しています。
| ステップ | 説明 |
|---|---|
| ステップ1：初期対応 | 脆弱性の報告を受理後、ARBOR PSIRTは提出された情報が完全であるかを確認し、報告の受領通知を行うとともに、固有のトラッキングID（Tracking ID）を割り当てて初期の案件登録を実施します。報告者には、その後の連絡や案件の追跡をスムーズに行うための確認メールが送信されます。 |
| ステップ2：トリアージと分析 | ARBOR PSIRTは初期評価を行い、報告された問題が製品のセキュリティ脆弱性に該当するかどうかを分類・判断します。チームは、潜在的な影響、影響を受ける製品、脆弱性の種類、および深刻度を評価します。必要に応じて、当該案件を適切な製品開発チームに割り当て、さらに詳細な技術分析やフォローアップ措置を実施します。 |
| ステップ3：調査 | ARBOR PSIRTは、関連する製品開発チームと緊密に連携して技術的な調査を行い、脆弱性の存在の確認、報告された問題の再現、根本原因の分析、および影響を受ける製品、バージョン、潜在的な影響の特定を行います。この調査結果は、その後の修正措置の基盤となります。 |
| ステップ4：修正・改善 | ARBOR PSIRTは、関連する製品開発チームと協力し、ソフトウェア・アップデート、ファームウェアの修正、設定の変更、またはその他の適切な緩和策を含む、適切な修正措置を策定し実施します。修正措置の有効性を検証し、関連するサイバーセキュリティリスクの低減または排除を図ります。 |
| ステップ5：開示とコミュニケーション | 脆弱性の修正と検証が完了した後、ARBOR PSIRTは、当社の「協調的な脆弱性開示（CVD：Coordinated Vulnerability Disclosure）ポリシー」に従ってセキュリティアドバイザリ（Security Advisory）を公開し、影響を受けるお客様および関連するステークホルダーに通知します。開示の時期および範囲は、脆弱性の深刻度、悪用の可能性、およびその他の関連するリスク要因に基づいて決定されます。 |
5. セキュリティに関する免責事項および利用規約
製品のセキュリティ脆弱性、問題、またはインシデントに関連する情報を送信することにより、お客様は、ARBOR Technologyが報告された問題への対処および解決の目的に限り、当該情報を収集、処理、および使用することに同意するものとします。当社はお客様のプライバシーの保護に努めており、共有されたすべての情報は、適用される法律および当社の社内ポリシーに従って取り扱われます。
さらに、お客様は、ARBOR Technologyが社内調査、分析、および製品・サービスの継続的改善のために提供された情報を利用することに同意するものとします。当社は、お客様の身元情報および機密情報を保護するためにあらゆる合理的な努力を払いますが、さらなる詳細確認が必要な場合や、適用される法律によって義務付けられている場合において、完全な匿名性が保証されないことをお客様は理解し、了承するものとします。
ARBOR Technologyは、エンドユーザーが自発的に提供した情報に起因する意図しない情報開示について、一切の責任を負わないものとします。共有される情報が第三者の権利を侵害しないこと、または法的制限に違反しないことを確認する責任は、お客様にあります。報告を送信することにより、お客様は提供された情報の使用または開示に起因するいかなる請求、責任、または義務からも、ARBOR Technologyを免責し、損害を与えないことに同意するものとします。
ARBOR Technologyは、提供される情報およびセキュリティパッチの正確性と適時性を確保するために合理的な努力を払いますが、本書で提供される情報、情報速報、またはセキュリティパッチの使用、誤用、またはこれらへの依存に起因または関連して生じる直接的、間接的、偶発的、派生的、または特別損害（事業の中断、データの消失、または逸失利益を含みますがこれらに限定されません）について、当社はいかなる場合においても責任を負わないものとします。
個別の動作環境におけるセキュリティアップデートのテストおよび実施については、ユーザー自身が単独で責任を負うものとします。ARBOR Technologyは、事前の個別通知なしに、いつでも本ポリシーおよびセキュリティ情報を修正、更新、または撤回する権利を留保します。