製品脆弱性報告ポリシー

スコープ

本製品脆弱性報告ポリシー（「ポリシー」）は、関連するソフトウェア、ファームウェア、およびWabtecが提供する製品関連のデジタルサービスを含む、Wabtec製品およびそのコンポーネントに影響する潜在的なサイバーセキュリティ脆弱性に適用されます。

ワブテックは、報告者がワブテックと取引関係にあるかどうかにかかわらず、製品に関する報告を歓迎します。サポートが終了した製品に関する報告は、ケースバイケースで評価される場合があります。このような報告が承認または評価されたからといって、ワブテックが該当するサポート期間外に製品のパッチ、アップデート、またはその他の修正を提供することを意味するものではありません。

本ポリシーは、製品のサイバーセキュリティの脆弱性を対象としています。一般的な製品サポート、サイバーセキュリティに影響しない製品の品質問題、保証請求、およびその他のセキュリティ以外の事項は、該当するWabtecカスタマーサポートチャネルにお問い合わせください。

Wabtecのお客様またはその他の第三者が所有または運営するシステム、ネットワーク、製品、または環境のテストは、本ポリシーでは許可されていません。

誠実なセキュリティ調査

Wabtecは、Wabtec製品の潜在的なサイバーセキュリティ脆弱性を特定し、責任を持って報告することを目的とした誠実なセキュリティ調査を支援しています。

お客様が本ポリシーに従ってセキュリティ調査を実施し、ワブテック、当社の顧客、その他の第三者への危害を避けるために誠実に行動し、特定された脆弱性をWabtecに速やかに報告した場合、Wabtecはその調査のみを目的としてお客様に対して法的措置を取ることはありません。

この約束は、ワブテックが権利を放棄または管理する法的権限を有しているという主張にのみ適用されます。本規約は、お客様またはその他の第三者が所有または運営するシステム、製品、ネットワーク、または環境へのアクセスまたはテストを許可するものではなく、独立した第三者、政府機関、法執行機関を拘束するものでもありません。

適用法を遵守し、システム、製品、ネットワーク、または環境の所有者または運営者から必要な許可を得る責任はお客様にあります。

特定の研究が本ポリシーと一致しているかどうか不明な場合は、先に進む前にWabtec PSIRTに連絡してください。

契約規定

責任ある研究を促進し、ワブテックの顧客、従業員、事業所、その他の第三者を保護するために、本ポリシーに参加する研究者は以下のことを行う必要があります。

• ワブテック、当社の顧客、その他の第三者、および一般市民に危害が及ばないよう、誠意を持って努力してください。
• テストは、お客様が所有している、またはお客様が適切な権限を持っている製品、システム、環境でのみ実施してください。
• 該当する第三者から別途許可を得ていない限り、お客様の本番環境を含む第三者のサービスやインフラストラクチャのテストは避けてください。
• 鉄道、輸送、鉱業、産業、その他の運用環境の安全性や利用可能性に悪影響を及ぼす可能性のある活動は避けてください。
• 車両、列車の制御、信号、ブレーキ、通信、またはその他の運用上または安全関連の機能を妨害しないでください。
• サービス拒否、リソース枯渇、破壊的、または破壊的なテストは避けてください。
• フィッシングを含む物理的なセキュリティテストやソーシャルエンジニアリングは避けてください。
• マルウェア、ランサムウェア、永続化メカニズム、またはその他の悪意のある機能の導入は避けてください。
• 脆弱性の存在と潜在的な影響を実証するために必要最小限のデータへのアクセス、変更、削除、ダウンロード、または漏洩は避けてください。
• 機密データ、認証情報、顧客情報、または脆弱性を実証するのに必要な範囲を超える機能にアクセスできるようになった場合は、テストを中止し、ワブテックに直接通知してください。
• 脆弱性が明らかになった後に、ラテラルムーブメントを行ったり、アクセスを継続させようとしたりすることは避けてください。
• 公開されていない脆弱性情報、顧客情報、またはその他の機密情報を、不正な開示につながる可能性がある公開または第三者のサービスにアップロードすることは避けてください。
• 報告された脆弱性については、下記の説明に従ってワブテックと協調して開示してください。特に、ワブテックが特定された脆弱性の修復を確認するまで、特定された脆弱性を公に開示しないでください。

安全関連機能に関する研究は、適切に管理された非運用環境で、必要なすべての許可を得てのみ実施する必要があります。

通常は対象外です。

ワブテックは通常、明らかなサイバーセキュリティへの影響がない限り、セキュリティのベストプラクティスや設定の問題に関する観察結果を製品のサイバーセキュリティ脆弱性として扱いません。

例には以下が含まれます。

• セキュリティ上の影響が明らかでない情報バージョンの開示
• HTTP セキュリティヘッダが不足しているか、推奨されているが、悪用可能性が実証されていない。
• 信頼できる攻撃経路やセキュリティ上の影響がない理論上の脆弱性
• 古くなった、またはサポートされていないサードパーティのブラウザ、オペレーティングシステム、またはプラットフォームのみに依存する調査結果
• セキュリティに重大な影響を与えずに、想定外のユーザーインタラクションを必要とする問題、および
• 重要な機密性、完全性、可用性、プライバシー、安全性、または運用上のリスクを生じさせない、その他の構成またはセキュリティ強化に関する推奨事項。

このリストは、すべてを網羅しているというよりは、例示的なものです。ワブテックは、報告者がサイバーセキュリティ、安全性、プライバシー、または業務上の有意義な影響を示した報告があれば評価することがあります。

問題が範囲内にあるかどうか不明な場合は、報告することをお勧めします。

脆弱性を報告した後に何が起こるか

Wabtec PSIRTは、報告された潜在的な製品サイバーセキュリティ脆弱性の処理を調整します。このプロセスは通常、次の段階で構成されます。

1.レシートとトリアージ

Wabtec PSIRTは脆弱性レポートを受け取り、初期レビューを行います。

Wabtec PSIRTはいつでも報告を受け付け、2営業日以内に脆弱性報告の受領を確認するよう努めます。

差し迫った安全上のリスク、活発な悪用、または顧客や業務への重大な影響を示す報告は、優先的に評価されます。

2.テクニカル・アセスメント

ワブテックは報告された可能性のある脆弱性を評価し、必要に応じて、関連する製品、エンジニアリング、サイバーセキュリティ、安全、法務、その他のチームと協力して以下のことを行います。

• 報告された問題を検証して再現すること。
• 影響を受ける製品とバージョンを特定する。
• 潜在的なサイバーセキュリティ、安全性、プライバシー、運用上の影響を評価する。
• 悪用可能性と重大度を評価し、
• 報告者からの追加情報が必要かどうかを判断する。

この手続き中に、ワブテックは追加の技術情報や説明を求めて、報告者に連絡することがあります。

3.修復と緩和

検証済みの脆弱性については、Wabtecは状況に基づいて適切な修復またはリスク軽減策を決定します。

脆弱性と影響を受ける製品によっては、これらの対策にはソフトウェアまたはファームウェアの更新、設定の変更、補償、回避策、顧客指導、その他の措置が含まれる場合があります。

対応と修復のスケジュールは、脆弱性の重大度と複雑さ、影響を受ける製品、安全上の考慮事項、緩和策の有無、製品ライフサイクルの状況、顧客、サプライヤー、テクノロジープロバイダー、規制当局、CERT、CSIRT、またはその他の影響を受ける関係者との調整の必要性などの要因によって異なります。

4.協調的開示

Wabtecは、顧客やその他の影響を受ける関係者を保護できるような方法で、製品のサイバーセキュリティ脆弱性の開示を調整するよう努めています。

ワブテックが問題を調査し、必要に応じて是正措置または緩和策を策定および調整する間、非公開の脆弱性情報の機密性を維持するよう記者にお願いします。

ワブテックは、報告者と誠意を持って協力し、必要に応じて適切な開示スケジュールを設定するよう努めます。開示時期には、以下を含む要因が考慮される場合があります。

• 脆弱性の重大度と悪用可能性
• 活発または差し迫った搾取の証拠
• 潜在的な安全上または運用上の影響
• 是正措置または緩和措置の利用可能性と検証
• 影響を受けるお客様への導入に関する考慮事項
• サプライヤーやその他の影響を受ける関係者との調整、および
• 適用される法的および規制上の要件

研究者は、適用法で別段の定めがない限り、合意された共同開示日までに脆弱性の詳細を公表すべきではありません。

5.レポーターの表彰

必要に応じて、報告者の同意を得た上で、ワブテックは公開されたセキュリティ勧告またはその他の脆弱性コミュニケーションにおいて報告者を承認することがあります。また、報告者は、自身の身元を秘密にしておくこと、または公に認められないよう求めることもできます。

セキュリティ勧告とお客様への通知

ワブテックは、該当するお客様が特定されたサイバーセキュリティリスクを理解して対処できるように、必要に応じてセキュリティ勧告を発行したり、その他の通知を提供したりすることがあります。

状況に応じて、勧告または通知には以下が含まれる場合があります。

• 脆弱性の説明
• 影響を受ける製品とバージョン
• CVE 識別子と脆弱性の重大度情報 (該当する場合)
• サイバーセキュリティ、運用、または安全上の潜在的な影響
• 既知の緩和要因または回避策、および
• 利用可能なパッチ、アップデート、設定の変更、またはその他の推奨処置。

通知のタイミング、形式、内容は、顧客の安全とセキュリティ、悪用のリスク、修復手段の有無、影響を受ける製品と顧客、第三者との調整、適用される法的および規制上の要件など、脆弱性の状況によって異なります。

必要に応じて、Wabtecは脆弱性情報を関連するCERT、CSIRT、その他の政府当局、業界団体、サプライヤー、またはその他の影響を受ける利害関係者と調整することがあります。

報奨金や補償はありません。

ワブテックが別途書面で明示的に同意しない限り、本ポリシーはバグ報奨金プログラムとはみなされず、脆弱性報告を提出しても補償、払い戻し、またはその他の支払いを受ける権利が生じることはありません。

ポリシーの制限事項

この脆弱性開示プログラムに参加しても、本ポリシーで許可されている研究を実施するために必要な限られた範囲を除き、ワブテックの知的財産権に関するいかなる権利またはライセンスも付与されません。

本ポリシーのいかなる規定も、適用法または第三者の権利を侵害する行為を許可するものではありません。

ワブテックは、製品、脆弱性管理プロセス、適用要件、またはセキュリティベストプラクティスの変更を反映するために、本ポリシーを随時更新することがあります。

ワブテック SPIRT にお問い合わせください。

潜在的な製品サイバーセキュリティ脆弱性は、ワブテック製品セキュリティインシデント対応チーム (PSIRT [at] Wabtec [dot] com) に報告してください。

機密性の高い脆弱性情報については、Wabtecの公開PGPキーを使用してください。