製品セキュリティポリシー

株式会社パネルエンジニアサービス（以下、「当社」という。）は、蓄電IoT統合システム製品のサイバーセキュリティリスク管理を標準化し、脆弱性の受付、検証、修正、開示および進捗管理を行うため、本ポリシーを定めます。

1．製品セキュリティに関する基本方針

当社は蓄電システムインテグレーションを専門とし、蓄電システム全体の設計およびインテグレーションサービスを主力事業としています。当社の蓄電IoT統合システム（エッジゲートウェイ＋BMS通信トポロジーアーキテクチャ）シリーズ製品におけるサイバーセキュリティリスク管理を標準化し、脆弱性の受付、検証、修正、開示およびクローズドループ管理の仕組みを確立するため、本ポリシーを定めます。

本ポリシーは、セキュリティ研究者、業界パートナー、設備所有者および保守運用者を対象に、セキュリティ研究の範囲、脆弱性の報告窓口、対応手順、進捗共有、機密保持期間等を示すものです。

適用範囲

本ポリシーは、当社が自社開発およびインテグレーションを行う蓄電IoT統合システム（エッジゲートウェイ＋BMS通信トポロジーアーキテクチャ）全シリーズの製品、ならびに付随するソフトウェア、ハードウェア、通信リンクおよびバックエンドサービスに適用されます。

• 蓄電システム全体のアーキテクチャ：工業用ルーターをエッジゲートウェイとし、BMSをコアコントロールとする分散型・集中型蓄電システム、およびバッテリークラスター、BMSシステム、通信ゲートウェイ、エッジデータ収集機器、消防システム、冷却システム等の現場機器
• 通信ネットワーク機器：蓄電専用の工業用ルーターであるエッジゲートウェイ、現場の通信ネットワーク構築機器および通信プロトコルサービス
• BMS：バッテリー状態の収集、バランス制御、過電圧・不足電圧・過電流保護、温度監視、故障アラート、データ報告、リモートコントロール、HMIログインおよびローカルパラメータ設定等のソフトウェア・ハードウェア機能
• データ連携：ESS現場機器とゲートウェイ間、およびゲートウェイとローカルEMS間の通信リンク、データ転送プロトコル、暗号化認証メカニズムおよびビジネスロジック
• 関連プラットフォームとサービス：リモートデバッグシステム、データ収集・報告インターフェースおよびサードパーティ連携サービス

以下は脆弱性報告の受理範囲に含まれません。

• 物理的な分解、ハードウェアの改造または物理回線の破壊を行わなければ再現できない問題
• ネットワークトポロジーの独自変更、機器の無断接続、公式パラメータの変更または規約違反の保守運用操作に起因するリスク
• 最新版で修正済みの脆弱性
• ネットワーク帯域の混雑、施工環境の不具合、キャリア回線の中断等、製品設計に起因しない問題
• DoS・DDoS、過度な負荷テスト、トラフィック爆撃等の破壊的なテスト行為により生じたシステム異常
• 権限、データまたは制御権限に関係しない、ブラウザ互換性やUI表示等の一般的な機能上の問題
• 事前の書面による報告および許可を得ていない、悪意のあるペネトレーションテスト、データ窃取、バックドアの設置またはラテラルムーブメント等の行為

2．脆弱性開示ポリシー

脆弱性の公式報告窓口

当社製品に関する脆弱性の報告、安全に関する相談、本ポリシーの確認および開示延期の申請は、下記の窓口までご連絡ください。

本メールアドレスは、当社の蓄電システム製品に関するセキュリティ脆弱性の唯一の公式受付窓口です。テキスト、リッチテキストおよび圧縮ファイルの添付に対応しています。

ご報告の際は、可能な範囲で以下の情報をご記載ください。

• 対象となる製品の型式、機器モジュールおよびファームウェア・ソフトウェアのバージョン
• 問題の仕組み、発生条件、再現手順、影響を受ける通信リンクおよび管理制御機能
• BMSデータの改ざん、機器の制御喪失、通信の乗っ取り、データ漏えい、権限昇格、システム停止等の想定リスク
• スクリーンショット、操作記録、ログ、POC検証スクリプト、トポロジーに関する説明資料等
• 報告者の氏名、所属機関および連絡先（任意。匿名での報告も受け付けます）

添付ファイルは、ZIP、7Z、GZIP等の一般的な圧縮形式に対応しています。テストスクリプトや検証コードは圧縮ファイルに格納し、実行可能な悪意のあるプログラムを直接送信しないでください。製品バージョンや脆弱性の種類が分かるファイル名を付け、機密性の高い資料は暗号化して送付することを推奨します。

脆弱性の受付および対応プロセス

1. 受領確認：報告メールの受信後、原則として5営業日以内に当社のPSIRT窓口から受領確認メールを返信し、対応担当者を割り当てます。対象機器および影響範囲に応じて、関係する製造元・保守元へ情報を共有し、対応を開始します。
2. 有効性検証：当社は、関係する製造元・保守元と連携し、通信トポロジー、BMSの管理制御ロジック、エッジゲートウェイの転送メカニズムおよびバックエンドの権限メカニズムを対象に再現・検証を行い、脆弱性の有無、リスクレベルおよび影響範囲を判定します。脆弱性と認められない問題またはセキュリティに関係しない問題については、理由と根拠を通知します。
3. 修正と是正：有効な脆弱性について、当社と関係する製造元・保守元が対応方針を協議します。各製造元・保守元は、それぞれの担当範囲における修正、セキュリティファームウェア、パッチまたはアップデートの開発・提供を行い、当社は製品全体の対応状況を管理・調整します。
4. 検証とリリース：関係する製造元・保守元が、それぞれの担当範囲において修正パッチの検証を行います。当社は、製品全体の対応を調整し、セキュリティ情報の更新およびお客様への通知・対応支援を行います。

進捗状況の共有

脆弱性修正の全期間を通じて、受領確認、検証結果、リスクレベルの判定、修正予定、パッチ開発、内部テストおよび正式リリース等の主要な段階の進捗状況を報告者に継続的に共有します。追加情報が必要な場合は、当社からメールでご連絡します。

報告者の書面による許可がない限り、当社は報告者の個人情報を外部に開示しません。必要であり、かつ許可を得ている場合に限り、影響を受けるお客様や保守運用関係者に、対象となる蓄電システムのリスクおよびアップデート案を共有します。

機密保持および公開

当社が受領確認メールを送信した日から、原則として120日間を機密保持期間とします。機密保持期間中、報告者は、脆弱性の技術的詳細、再現方法およびリスクの内容を第三者、公開コミュニティまたはオンラインプラットフォームに開示しないものとします。

機密保持期間中に修正を完了し、正式なセキュリティバージョンをリリースした場合は、報告者と協議し合意した上で、脆弱性情報を公開することがあります。期間満了前に情報を公開する必要がある場合は、事前に当社へ書面で申請し、同意を得てください。

セキュリティ研究の行動規範および免責

許容される研究は、非破壊的な方法により、当社の公開テスト環境にある蓄電IoT統合システムを対象として脆弱性の存在を確認する行為に限られます。悪意のある攻撃、不正な制御またはデータの窃取を目的としてはなりません。

以下の行為を禁止します。

• 現場機器の稼働の破壊、BMSの管理制御ロジックの妨害、ゲートウェイ通信の遮断またはシステムの停止
• 稼働データ、バッテリー状態データまたはユーザ設定情報の改ざん、削除もしくは窃取
• 悪意のあるプログラムの設置、持続的なバックドアの構築または社内ネットワークへのラテラルムーブメント
• ソーシャルエンジニアリングによるフィッシング、嫌がらせまたは詐欺に類するテスト
• 許可なく未修正の脆弱性の詳細を公開または拡散する行為

研究者が本ポリシーの範囲を遵守し、善意をもって報告を行い、脆弱性情報を事前に漏えいせず、業務や機器に損失を与えていない場合、当社はその研究行為を適正なものと認め、関連する法的責任を追及しません。

知的財産権およびデータに関する義務

報告者が提出した脆弱性報告書、技術文書および検証資料について、報告者は当社に対し、製品の最適化、修正・改善およびコンプライアンス上の公示に利用できる、永久的、無償かつ非独占的な使用権を許諾するものとします。提出資料は第三者の知的財産権を侵害しないものとし、侵害に関する問題が生じた場合は、提出者がその責任を負うものとします。

テストの過程で一時的に取得した非公開データは、当該脆弱性の検証にのみ使用し、検証終了後は直ちに完全に削除してください。私的な保存、転送または公開は禁止します。

3．セキュリティアップデート方針

当社は、報告された脆弱性について技術的な再現および検証を行い、 CVSS基本スコア、悪用可能性および潜在的な影響に基づき、対応の優先度を決定します。

• 緊急（CVSS 9.0以上）：直ちに緊急対応を開始し、72時間以内の修正またはパッチ提供を目標とします。
• 高（CVSS 7.0～8.9）：高い優先度で対応し、14日以内の修正を目標とします。
• 中（CVSS 4.0～6.9）：通常の開発計画に組み込み、次回の計画更新での修正を目標とします。
• 低（CVSS 4.0未満）：評価後、修正または将来バージョンでの対応を決定します。

脆弱性の種類については、ファームウェア、ソフトウェア、ハードウェア、プロトコル・通信等に分類し、適切な担当部門へ割り当てます。

製品セキュリティインシデント対応組織（PSIRT）

当社は、蓄電システム製品のサイバーセキュリティインシデントおよび脆弱性に迅速かつ組織的に対応するため、最高技術責任者（CTO）を統括責任者とする「製品セキュリティインシデント対応チーム（PSIRT）」を常設し、脆弱性の発見から修正・リリースまでを一貫してハンドリングする体制を確立しています。

PSIRTの組織構成および責任分担

1. 統括責任者（CTO）：インシデント対応方針の決定、対外公表の承認、経営判断および重大セキュリティ事案の指揮統括。
2. 製品安全窓口（PSIRT常設窓口）：脆弱性通報（[email protected]）の一次受付、通報者への受領確認（5営業日以内）、社内担当割り当ておよび進捗共有の管理。
3. サイバーセキュリティ部門：技術的再現性の検証、CVSS深刻度スコアの判定、攻撃影響範囲の分析およびセキュリティ検証。
4. 研究開発部門（R&D）：脆弱性根本原因の解析、修正案の策定、セキュリティファームウェアおよびパッチの開発。
5. 品質保証・テスト部門：修正パッチの機能検証、回帰テストおよび実機セキュリティテストの実施。
6. カスタマーサポート部門：影響を受けるお客様・発電所運用事業者へのセキュリティアドバイザリ通知およびアップデート適用支援。

多者間連携（ステークホルダー）および協調体制

本製品（TWS-JC1）は、複数の専門企業によるハードウェア・ソフトウェアの統合システムであるため、サプライチェーン全体で協調してセキュリティアップデートおよびインシデント対応を実施する「多者間連携体制」を規定しています。

対象ステークホルダーおよび役割分担

1. 申請事業者・システムインテグレーター（株式会社パネルエンジニアサービス）：製品全体のセキュリティ統合管理、PSIRT運営、国内総合窓口およびユーザーへの公式通知・対応支援。
2. BMSおよび蓄電池システム製造・保守元（TWS Technology Limited）：システムレベルBMSハードウェア、組込み制御ファームウェアおよび蓄電池モジュールの供給、BMS脆弱性解析、修正パッチの開発・検証および技術保守の提供。
3. エッジゲートウェイ製造元（株式会社アットマークテクノ）：エッジ通信ゲートウェイ（Armadillo-IoT G4）ハードウェアおよびBase OS（ABOS）の保守、セキュリティアップデートの提供。
4. 発電所運用事業者（O&M事業者）：現場設備におけるシステム稼働監視、リリースされたセキュリティアップデートの計画的適用実施。

多者間通信・緊急連絡協定

関係会社間の連絡体制：当社は国内の総合窓口を担当し、対象機器に応じて、以下の連絡先を通じて関係会社と情報共有および対応の調整を行います。

• 情報共有：いずれかの事業者が本製品に影響を及ぼす可能性のある脆弱性またはインシデントを検知した場合、24時間以内に暗号化メール等を通じて当社のPSIRT窓口へ通知し、合同で緊急トリアージを実施します。
• 契約的担保：この多者間協調メカニズムは、各サプライヤーとの商業契約および保守協定において明確に規定されています。

4．サイバーセキュリティに関する情報提供

安全な初期設定および使用方法

システムレベルBMSでは、初回ログイン時に工場出荷時のデフォルトパスワードが使用されている場合、パスワード変更が完了するまでその他の操作を行うことができません。新しいパスワードは8文字以上で設定する必要があります。

Armadillo-IoT G4のABOS Webでは、initial_setup.swu設定、初回ログイン時の設定、またはエンドユーザー自身による設定の方法でパスワードを設定できます。各設定方法において、パスワード強度が一定の基準を満たすことを確認する仕組みが提供されています。

セキュリティアップデートに関する情報提供

当社は、関係する製造元・保守元から提供されるセキュリティアップデート情報を確認し、当社製品への影響および適用の必要性を判断します。Armadillo-IoT G4に関する情報は、アットマークテクノが公開する製品アップデートニュース等を通じて確認します。

当社製品に適用するセキュリティアップデートを提供する場合、当社のPSIRT窓口より、製品登録時に登録されたメールアドレス宛に通知します。

通知には、更新対象のバージョン番号、修正対象となる脆弱性の情報（CVE番号等）、アップデートを実施しない場合に想定されるリスク、およびアップデート手順を含みます。当社は、関係する製造元・保守元および保守運用事業者と連携し、アップデートの適用を支援します。

アップデートを行わない場合に想定される事故・障害および免責事項

製造業者は、セキュリティアップデートの必要性を明確かつ識別できるようにユーザーに通知し、アップデートによって軽減されるリスクに関する情報を提供します。

また、セキュリティアップデートの通知には、更新されないリスクを含めます。

セキュリティサポート期間

本製品のセキュリティサポート期間は、製品の公式リリース日を起算日とします。 メジャーバージョンについては少なくとも5年間、マイナーバージョンについては少なくとも3年間、パッチバージョンについては少なくとも18か月間、セキュリティアップデートのサポートを提供します。

セキュリティサポート期間中は、高リスクまたは重大なセキュリティ脆弱性へのパッチを提供し、そのリリースサイクルは30営業日を超えないものとします。また、主流のオペレーティングシステムおよび第三者コンポーネントとの互換性およびアップデート、セキュリティアップデート通知ならびに脆弱性リスクに関する情報提供を実施します。

サポート終了予定日の少なくとも12か月前までに、当社ウェブサイト、登録済みメールアドレスへの通知その他の方法により、サポート終了（EoS）およびその後の移行計画についてお知らせします。

ユーザーは追加サービス契約を締結することで、最大2年間の拡張セキュリティサポートサービスを購入できます。サービス内容および料金はメーカーの公式サービス条件に従います。

製品の安全な利用終了・廃棄・譲渡

製品が廃棄される前に、ユーザーは以下の操作を完了する必要があります。

• すべての電源接続を切り離し、デバイスを24時間放置してコンデンサの残留電荷を放電する。
• ハードドライブ、フラッシュチップ、SIMカードなどのすべてのストレージメディアを取り除き、データセキュリティレベルに応じて対応する破棄手順を実施する。

データ破棄については、以下を実施します。

• デバイスのシリアル番号を一覧にし、すべてのバインディングを解除する。
• データの完全消去、ソフトウェア消去、ファームウェアレベルの消去を行う。
• SDカードは、SDカード消去ツールを使用してデータを完全消去するか、カードを物理的に破砕する。
• 破棄完了後、時間、オペレーター、破棄方法、検証結果を含む廃棄記録をコンプライアンス監査のために保管する。

また、使用者が、鉛、水銀、カドミウムなどの有害物質を含む部品を分解、焼却または埋設することは禁止されています。廃棄されたハードウェアは、製造者または適切なリサイクル業者に引き渡します。製造業者は製品のリサイクルサービスを提供しており、ユーザーは公式ウェブサイトを通じてリサイクル申請を提出できます。

5．セキュリティに関するお問い合わせおよび本ポリシーの運用

ポリシーに関する相談および確認

テストの範囲、脆弱性の受理範囲、公開時期またはコンプライアンスに関するご質問は、本ページの「脆弱性の公式報告窓口」からお問い合わせください。セキュリティテストを開始する前に、本ポリシーに適合するか判断できない場合は、事前にご確認ください。

ポリシーの効力

本ポリシーは日本地域の関係者を対象とし、日本語版のみを公開します。当社は、製品のアップデートまたはコンプライアンス上の要件に基づき、本ポリシーを改定・更新することがあります。