蓄電IoT統合システム製品の脆弱性公開に関するポリシー

一、 ポリシー概要

当社はプロフェッショナルな蓄電システムインテグレーション企業であり、蓄電システム全体の設計およびインテグレーションサービスを主軸事業としています。当社の蓄電IoT統合システム（エッジゲートウェイ＋BMS通信トポロジアーキテクチャ）シリーズ製品のサイバーセキュリティリスク管理を規範化し、脆弱性の受け付け、検証、修正、開示、およびクローズドベース管理の標準化されたメカニズムを確立するため、また、蓄電現場の機器、通信リンク、バックエンド管理システムおよびユーザーデータの安全性を保障するため、JC STAR S1.1-05『脆弱性報告管理』の規範要件に基づき、本『蓄電IoT統合システム製品の脆弱性公開に関するポリシー』を特にお定めます。

本ポリシーは、セキュリティ研究者、業界パートナー、エンドオーナー、および保守運用者に向けて公開されるものであり、合法的なセキュリティ研究の範囲、脆弱性報告窓口、対応速度、進捗同期メカニズム、機密保持期間、およびコンプライアンス免責条項を明確にすることで、蓄電システムのサイバーセキュリティ・コンプライアンス運営に対して、公開され透明性の高い制度的枠組みを提供します。

 

二、 適用範囲

（一）適用製品およびシステムアーキテクチャ

本ポリシーは、当社が自社開発およびインテグレーションを行う蓄電IoT統合システム（エッジゲートウェイ＋BMS通信トポロジアーキテクチャ）全シリーズの製品、およびこれらに付随するソフトウェア・ハードウェア、通信リンク、バックエンドサービスに適用されます。具体的には以下を含みます：

• Battery Energy Storage System Overall Architecture: A distributed/centralized battery energy storage system with an industrial router as the edge gateway and the BMS (Battery Management System) as the core control. This includes a full set of on-site equipment such as battery clusters, BMS systems, communication gateways, edge data collection equipment, fire fighting systems, and cooling systems.

• 通信ネットワーク機器：蓄電専用の工業用ルーターであるエッジゲートウェイ、現場の通信ネットワーク構築機器、および対応する通信プロトコルサービス。

• BMS（バッテリーマネジメントシステム）： バッテリー状態の収集、バランス制御、過電圧・不足電圧・過電流保護、温度監視、故障アラート、データ報告、エッジゲートウェイを介したリモートコントロール、ローカルHMIディスプレイへのログイン、ローカルパラメータ設定権限など、BMSのソフトウェア・ハードウェア機能モジュール一式。

• 全リンクのデータインタラクション： ESS現場機器とゲートウェイの間、およびゲートウェイとローカルEMSの間の通信リンク、データ転送プロトコル、暗号化認証メカニズム、およびビジネスロジック。

• 関連プラットフォームとサービス： リモートデバッグシステム（EMS経由で実現）、データ収集・報告インターフェース、サードパーティ連携サービス。

（二）受付範囲外

安全テストの境界を明確にするため、以下のシナリオは本ポリシーにおけるセキュリティ脆弱性の受理範囲に含めないものとします：

• 蓄電バッテリー、BMSハードウェア、工業用ルーターに対して、物理的な分解、ハードウェアの改造、物理回線の破壊を行わなければ問題を再現できない場合。

• ユーザーが私的にネットワークトポロジーを改造したり、機器を無断で接続したり、公式パラメータを変更したり、規約違反の保守運用操作を行ったりしたことに起因する安全リスク。

• 現在の最新安定版（最新スタブルバージョン）で修正済みの脆弱性。

• 一般的なネットワーク帯域の混雑、現場の施工環境の不具合、キャリア回線の中断など、製品設計に起因しない問題。

• サービス拒否攻撃（DoS/DDoS）、過度な負荷テスト（ストレスチェック）、トラフィック爆撃などの破壊的なテスト行為によって引き起こされたシステム異常。

• 一般的なブラウザの互換性の問題、ビジネス機能に関わらないUI表示の問題など、権限、データ、制御権限に関わらない一般的な機能上の瑕疵。

• 当社からの事前の書面による通知および承認なしになされる、悪意のあるペネトレーションテスト、データ窃取、バックドアの設置、ネットワーク内でのラテラルムーブメントなどの規約違反行為。

 

三、脆弱性公式報告窓口

唯一の公式脆弱性受理メールアドレス：serviceess@tws.com

本メールアドレスは、当社の蓄電システム製品におけるセキュリティ脆弱性の唯一の公式受理窓口であり、すべての脆弱性報告、安全に関する相談、ポリシーの確認、開示延期の申請は、本メールアドレスを通じて提出される必要があります。テキスト、リッチテキスト、添付の圧縮ファイル形式に対応しています。情報の安全性を保障するため、機密性の高い脆弱性資料は暗号化して提出することをお勧めします。

脆弱性報告に含めることを推奨する内容

• 脆弱性が所属する製品：蓄電IoT統合システムの型式、エッジゲートウェイ＋BMSトポロジに対応する機器モジュール、ファームウェア/ソフトウェアのバージョンを明記。

• 脆弱性の詳細な説明： 問題の原理、トリガー条件、完全な再現手順、影響を受ける通信リンクおよび管理制御機能。

• リスクと危害の説明：BMSデータの改ざん、機器の制御喪失、通信の乗っ取り、データ漏洩、リモート特権昇格（権限越え）、システムの機能停止などのリスクを招く可能性があるか否か。

• 裏付け資料：脆弱性のスクリーンショット、操作の記録画面、ログ記録、POC（概念実証）検証スクリプト、トポロジ問題の説明ドキュメントなど。

• 報告者の情報（任意）：氏名、所属機関、連絡先。匿名による報告も受け付けます。

添付ファイルの提出規範

• ZIP、7Z、GZIPなどの一般的な安全な圧縮形式に対応しています。

• テストスクリプトや検証コードはアーカイブ（パック）してアップロードしてください。実行可能な悪意のあるプログラムを直接送信することを禁止します。

• アーカイブの作成、確認をスムーズに行うため、製品バージョンや脆弱性タイプを明記し、明確なファイル名を付けてください。

 

四、 脆弱性の受付と対応プロセス

当社は、JC STAR S1.1-05の要件を厳格に遵守し、標準化された脆弱性対応のクローズドベースフローを構築し、対応スピードと各ノードを明確にすることで、脆弱性の追跡可能性、管理可能性、および修正可能性を保障します。

1. 5営業日以内の受領確認：脆弱性報告メールを受信後、当社のセキュリティチームは5営業日以内に受領確認メールを返信し、報告の受信を確認して専任の担当者を割り当て、正式に対応プロセスを開始します。

2. 脆弱性の有効性検証：蓄電IoT統合システムの通信トポロジ、BMSの管理制御ロジック、エッジゲートウェイの転送メカニズム、バックエンドの権限メカニズムを対象に技術的な再現と検証を行い、脆弱性の真実性、リスクレベル、および影響範囲を判定します。無効な問題やセキュリティに関わらない問題については、却下の理由および判定の根拠を明確に通知します。

3. 脆弱性の修正と是正：有効と確認された安全上の脆弱性に対して、エッジゲートウェイの通信ポリシー、BMSプロトコルの検証メカニズム、データの暗号化ロジック、権限アクセス制御、インターフェース保護、ファームウェアのセキュリティ強化などの観点から修正案を策定し、セキュリティファームウェア、システムパッチ、およびバージョンアップデートを繰り返しリリースします。

4. 修正完了後、内部テストおよび回帰検証を実施し、脆弱性が完全に修正されたことを確認した上で、正式にアップグレードバージョンをリリースし、製品のセキュリティ説明を同時に更新して、脆弱性対応をクローズします。

 

5. 脆弱性進捗の同期メカニズム

脆弱性修正の全ライフサイクルにおいて、当社は報告者に対して対応の進捗を継続的に同期します。主要なノードには、受領確認、脆弱性の検証結果、リスクレベルの判定、修正案のスケジュール、パッチ開発、内部テスト、正式リリースが含まれます。トポロジ情報、機器のバージョン、テスト環境資料の追加が必要な場合、当社から主体的にメールで連絡を取り、連携を図ります。

報告者の書面による許可がない限り、当社は報告者のプライバシー情報を外部に開示することはありません。必要であり、かつ授権（許可）を得ていることを前提とする場合に限り、影響を受ける顧客や保守運用ユニットに対して、対応する蓄電システムのリスクおよびアップグレード案を同期します。

 

六、 脆弱性の機密保持および公開ウィンドウ期間の規則

弊社の脆弱性受付確認メール送信日より起算し、デフォルトで120日間の公式機密保持期間を設けます。この期間中、報告者は、いかなる第三者、公開コミュニティ、オンラインプラットフォームに対しても、当該脆弱性の完全な技術的詳細、再現方法、およびリスクの原理を開示してはなりません。

ウィンドウ期間内に当社が脆弱性の修正を完了し、正式なセキュリティバージョンをリリースした場合、双方で協議の上、合意に達した後に脆弱性情報を外部に公開することができます。120日間のウィンドウ期間内に繰り上げて開示する必要がある場合は、必ず事前に当社に書面による申請を提出し、公式な正式同意を得た上で公開しなければなりません。

 

七、セキュリティ研究の行動規範および免責事項

（一）許容される善意のセキュリティ研究行為

非破壊的な前提において、当社の公開テスト環境にある蓄電IoT統合システム（エッジゲートウェイ＋BMS通信トポロジ）を対象にコンプライアンスに則った脆弱性検証を行うことに限定されます。これは脆弱性の存在を確認することのみを目的とするものであり、悪意のある攻撃、不法な制御、およびデータの窃取に用いてはなりません。

（二）厳格に禁止される行為

• 蓄電設備の機器稼働を破壊し、BMSの正常な管理制御ロジックを妨害し、エッジゲートウェイの通信を遮断し、システムを停止させること。

• 蓄電システムの稼働データ、バッテリーの状態データ、ユーザーの設定情報を改ざん、削除、または窃取すること。

• 機器、ゲートウェイ、システム内に悪意のあるプログラムを植え付けること、持続的なバックドアを構築すること、および社内ネットワークへ横展開（ラテラルムーブメント）すること。

• ソーシャルエンジニアリングを用いたフィッシング、嫌がらせ、詐欺行為のテスト

• 無断で、未修正の蓄電システムの脆弱性の詳細を事前に公開または拡散すること。

（三）コンプライアンス免責

セキュリティ研究者が本ポリシーの境界を厳格に遵守し、善意を持って報告を行い、脆弱性情報を事前に漏洩せず、業務や機器に損失を与えていない場合、当社はその研究行為がコンプライアンスに準拠していると認め、関連する法的責任を追及しません。

 

八、知的財産権およびデータに関する義務

報告者が提出した脆弱性報告書、技術文書、検証材料について、デフォルトで当社に対し、永久的、無償、非独占的であり、製品の最適化、修正・改善、コンプライアンス公示に使用できる使用権を授与するものとします。提出される材料は、第三者の知的財産権に関する紛争がないことを保証する必要があり、侵害問題が発生した場合は、提出側が自らその責任を負うものとします。

テストの過程で一時的に取得した非公開データは、今回の脆弱性検証のみに使用し、研究終了後は直ちに完全に削除しなければならず、私的に保存、転送、または公開してはなりません。

 

九、ポリシーに関する相談および確認

テストの境界、脆弱性の受理範囲、開示ウィンドウ期間、コンプライアンスに関する疑問については、すべて公式の脆弱性メールアドレスを通じて相談を立ち上げることができます。セキュリティテストを開始する前に、コンプライアンスに準拠しているか確認できない場合は、コンプライアンスリスクを回避するため、必ず事前にメールで確認を行ってください。

 

十、ポリシーの効力に関する説明

本ポリシーは日本地域の関係者を対象とするものであり、日本語版のみで外部に公示されます。当社は、製品のアップデートやコンプライアンスの要件に基づき、本ポリシーを改定・更新する権利を留保します。