ELHAにおけるサイバーセキュリティ

欧州連合（EU）は、「サイバーレジリエンス法（CRA）」により、デジタル要素を含む製品に対する拘束力のあるサイバーセキュリティ要件を導入しました。 当社は、脆弱性への対応に関する確立されたプロセスの運用、10年間のサポート期間にわたるセキュリティアップデートの提供、および実際に悪用されている脆弱性について所管当局への期限内の報告などを通じて、自社製品においてこれらの要件を積極的に実施しています。

このページでは、公開されている ELHA セキュリティアドバイザリをご覧いただけます。 

当社の機械、ソフトウェア、およびオンラインサービスのセキュリティは、ELHA-MASCHINENBAU にとって最優先事項です。セキュリティ研究者、お客様、パートナーの皆様から、脆弱性の発見と修正に役立つ情報をご提供いただければ幸いです。

適用範囲：本ガイドラインは、ELHAの工作機械およびその制御装置に搭載されたソフトウェアおよびファームウェア、当社のIIoTソフトウェア、ならびにelha.deおよびそのサブドメイン上のウェブサービスに適用されます。 サードパーティ製製品（例：サプライヤー製の制御コンポーネントなど）は本ポリシーの対象外となります。これらについては、各メーカーに直接ご連絡ください。不明な点がある場合は、弊社までご連絡いただければ、適切な先へ転送いたします。

脆弱性を報告する方法：報告は以下までお送りください cra@elha.de, möglichst verschlüsselt mit unserem PGP-Schlüssel (https://elha.de/.well-known/pgp-key.txt). Hilfreich sind die betroffene Maschine bzw. Software mit Version, eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen, Schritte zur Reproduktion sowie Ihre Kontaktdaten, falls Sie namentlich genannt werden möchten.

弊社からの対応について：ご報告の受領後5営業日以内に受領確認を行い、内容を評価した上で、今後の対応についてご連絡いたします。進捗状況については随時ご報告し、公開時期についてはお客様と調整させていただきます。 通常、受領後90日以内の公開を目指しておりますが、現場で使用中の機器の場合、アップデートの配布にさらに時間がかかることがあります。その際は、お客様と適切な期限について協議させていただきます。積極的に悪用されている脆弱性については、法的義務に基づき、所管当局へ報告いたします。

ご注意：生産現場で使用されている機械、特に当社の顧客の機械ではテストを行わないでください。機械の制御システムへの介入は、人命の危険や物的損害を引き起こす可能性があります。 サービス拒否攻撃、ソーシャルエンジニアリング、フィッシング、および物理的な攻撃は行わないでください。脆弱性の検証に必要な範囲でのみデータにアクセスし、作業終了後は取得したデータを削除してください。詳細の公表については、当社と協議の上で行ってください。

法的保証：お客様が善意に基づき、本ガイドラインに従って行動される限り、当社はお客様に対して法的措置を講じることはありません。

報酬：現在、バグ報奨金プログラムは実施しておらず、報告に対する報酬も支払っておりません。