製品セキュリティへの取り組み

製品セキュリティの考え方

シンフォニアテクノロジー（以下、当社といいます。）は、産業用機器および制御システムを提供する企業として、製品に内在するサイバーセキュリティリスクが、製品の安全性や信頼性、事業継続に影響を与えることを認識しています。お客様に安心して製品・サービスをご利用いただけるよう、製品の企画・設計から製造、出荷後の運用、廃棄に至るまで、製品ライフサイクル全体を通じたセキュリティの確保に取り組みます。

製品セキュリティに関する基本的考え方

1. リスクベースアプローチ

当社は、製品の用途、想定される運用環境、接続形態および脅威を考慮し、サイバーセキュリティリスクを識別、評価した上で、合理的かつ適切な対策を講じます。

2. 製品ライフサイクル全体でのセキュリティ確保

当社は、製品実現の各プロセスに至るライフサイクル全体にわたり、製品セキュリティを考慮します。

製品実現のプロセスは、以下の流れを基本とします。
企画 → 設計 → 開発 → 検証 → 製造 → 検査・試験 → 出荷 → 運用 → 廃棄

3. セキュア・バイ・デザイン(Secure by Design)

当社は、製品セキュリティを後付けで対応するものではなく、製品開発の初期段階からセキュリティを考慮した設計・開発を基本とします。

4. 製品脆弱性の管理

当社は、製品に関する脆弱性情報を継続的に監視し、脆弱性が特定された場合には、影響評価、是正対応およびお客様への情報提供を適切に実施します。

5.  組織的責任と体制

当社は、製品セキュリティに関する責任体制を明確にし、CSIRTおよびPSIRTを通じて、計画的かつ組織的に対応を行います。

6. 遵守事項

当社の役員および従業員、ならびに業務委託先は、本方針および関連する規程、手順を遵守し、製品セキュリティの確保に努めます。

7. 問題発生時の対応

当社製品の脆弱性などにより製品セキュリティ上の問題が発生した場合には，速やかにセキュリティ被害の拡散防止策を講じ、適切な処置を行います。

8. 継続的改善

当社は、脅威動向、技術進展、法規制およびお客様要求の変化を踏まえ、本方針および製品セキュリティ活動を継続的に見直し、改善します。また、製品セキュリティ意識の向上を目的とした教育を充実させ、継続的なマインド維持・向上に取り組んでいきます。

製品セキュリティ体制

当社では、製品およびサービスに関する脆弱性やセキュリティ上の問題へ対応するため、製品セキュリティインシデント対応チーム（PSIRT: Product Security Incident Response Team）を設置しています。

PSIRTは品質管理部を事務局とし、事業部門、法務部門、IT部門などの関係部門と連携して活動します。各事業部門では、対象製品に関係する技術、品質保証、調達その他の関係部門が、製品への影響調査および対策の検討などの実務対応にあたります。

また、社内のコンピュータセキュリティインシデント対応チーム（CSIRT: Computer Security Incident Response Team）と情報を共有し、連携して対応します。

脆弱性情報開示ポリシー

当社は、製品およびサービスに関する脆弱性情報について、セキュリティ研究者、お客様、お取引先その他の関係者と連携し、被害の未然防止および影響の最小化に取り組みます。

1. 基本方針

協調的脆弱性開示（CVD）の原則
当社は、脆弱性の発見または情報提供いただいた第三者と協調し、修正または回避策が準備されるまで、原則として未修正の脆弱性情報を公開しません。

不利益な取扱いの禁止
当社は、善意に基づき脆弱性を報告いただいた方に対し、不利益な取扱い、法的措置、報復行為を行いません。

法令およびお客様要求の遵守
当社は、各国の法令、CRA、お客様との契約条件を遵守した上で、適切なタイミングと内容で情報開示を行います。

2.  情報開示

当社は、脆弱性がお客様または関係者へ影響を及ぼすと判断した場合、必要な是正措置または回避策とともに「脆弱性情報一覧」にて情報提供を行います。

製品セキュリティに関する報告フォーム

当社では、当社製品に関する脆弱性情報を受け付けています。当社製品またはサービスにセキュリティ上の問題を発見された場合は、以下の報告フォームからご連絡ください。