製品のセキュリティ

テラダインは、お客様が安心して事業を展開できるよう、安全で信頼性の高い製品を提供することに尽力しています。セキュリティは、安全な設計・開発から継続的な脆弱性評価および対策に至るまで、当社の製品ライフサイクル全体に組み込まれています。業界で認められたフレームワークと厳格なガバナンスに基づき、当社の「製品セキュリティプログラム」は、データの保護、重要な業務の保全、そして新たなサイバーセキュリティリスクへの対応を支援します。セキュリティ、プライバシー、そして責任ある技術実践を、当社が開発するすべての製品に組み込むことで、お客様が日々テラダインに寄せている信頼に応えていきます。

報告方法

当社の安全なオンライン受付フォームは、脆弱性報告のための唯一の窓口です。

謝辞

送信後すぐに、追跡ID付きの自動確認メールが届きます。

誰が担当するのか

影響を受ける製品を担当する製品セキュリティチームの担当者。

お客様のご負担額

報告は無料です。テラダインでは、有料のバグ報奨金プログラムは実施しておりません。

お客様への取り組み

テラダインでは、当社の 製品セキュリティインシデント対応チーム（PSIRT）が運営する「協調的脆弱性開示（CVD）」プロセスを運用しています。お客様が善意に基づき 当社に脆弱性を報告された場合、当社は以下の事項を約束いたします。

対象範囲

このプロセスでは、当社の全事業部門にわたる、テラダイン製品およびそれらに同梱されるソフトウェアや システムにおけるセキュリティ上の脆弱性を対象としています。具体例としては、以下のものが挙げられます：

• 半導体テスト： UltraFLEX 、UltraFLEXplus 、J750 、IP750Ex、 Magnumメモリテスト、ETSおよびSLICの高精度電源・アナログテスト、Titan 、TitanHP、 Mercury HDDテストシステム、および Saturn ストレージテスト システム。
• 製品テスト： TestStation およびOmnyxの量産ボードのテスト、Photon シリコンフォトニクステスト、ならびにSpectrum、VICTORY、GENEVA、TestStudioおよび関連する 防衛・航空宇宙向けテストプラットフォーム。
• ロボティクス： Universal Robots の協働ロボットおよびMobile Industrial Robotsの自律移動ロボット。これらのブランドに関する報告はこちらで受け付けており、 関連チームに転送されます。または、 Universal Robots および Mobile Industrial Robots ページをご利用いただくことも可能です。
• ワイヤレス試験：LitePointのIQxel、IQgig、IQxstream、IQcell、IQfr各試験 システム、およびIQfact+ソフトウェア。 LitePointのページもご参照ください。
• 組み込みソフトウェアおよびコントローラソフトウェア：計測器のファームウェア、テスト実行プログラム、 ランタイムおよび制御ソフトウェア、ならびにシステムの一部として当社が提供するオペレーティングシステムのイメージおよびサービス 構成。
• テラダインが運営するインターネット向けサービス：ウェブサイト、顧客ポータル、 およびテラダインが運営するサポートシステム。

これらは一例であり、完全なリストではありません。当社の製品ラインナップは随時変更されますので、 発見された内容がここに記載されていないテラダイン製品に関連するものであっても、ぜひご報告いただき、 フォームに製品名をご記入ください。当社で適切なチームへ転送いたします。

対象外となるもの

一般的に、以下の内容は受け付けられません。ただし、このリストに含まれる報告であっても、 具体的なセキュリティ上の影響を証明できる場合は、審査の対象となる可能性があります。そのため、判断に迷う場合は、報告を提出し、 その重要性を説明してください。

• 自動化されたスキャナーからの生の出力であり、悪用可能性や影響は確認されていない。
• HTTPセキュリティヘッダー、クッキーフラグ、TLS設定の推奨事項が欠落している、あるいは SPF/DKIM/DMARCに関する問題点が確認されたが、具体的な影響は確認されていない。
• セルフXSS、機密性の高い操作が行われないページでのクリックジャッキング、および報告者がすでに制御しているデバイスを 完全に乗っ取るか、物理的に分解する必要がある問題。
• あらゆる種類のサービス拒否攻撃、ボリューム型攻撃、負荷試験、またはストレステスト。
• テラダインの従業員、 顧客、オフィス、または施設に対するソーシャルエンジニアリング、フィッシング、または物理的な侵入。
• 当社が管理していないサードパーティ製製品またはサービスにおける脆弱性。これらについては、 該当するベンダーに報告するとともに、その結果としてテラダイン製品が影響を受ける場合は、 当社までお知らせください。
• サポート終了となった製品については、その問題がサポート対象の リリースにも影響を及ぼさない限り。
• 公開されているCVEリストとバージョン番号のみを照合した報告で、 当該のコードパスが自社製品内で実行可能かどうかについての分析が一切行われていないもの。

交戦規則

当社の製品は、産業用機械、ロボット、および高価な試験装置を駆動します。これらを 不注意に試験すると、人が負傷したり、機器が破損したりする恐れがあります。以下の事項を遵守してください。

• テストは、ご自身が所有する機器、または所有者から文書による明示的な 許可を得ている機器でのみ行ってください。テラダインの顧客の機器でテストを行ってはなりません。
• 対象範囲内にとどめてください。他のシステム、ネットワーク、またはアカウントに話題を逸らさないでください。
• 問題を実証するために必要な最小限のアクセス権のみを使用してください。実証が完了次第、直ちに中止し、 それ以上エスカレーションを試みてはなりません。
• 自分以外のデータにアクセスしたり、複製、変更、破棄したりしないでください。もし 個人データ、顧客データ、または認証情報に遭遇した場合は、直ちに作業を中止し、 そのコピーを保持せず、報告書にその旨を記載してください。
• いかなるサービス、システム、または機器に対しても、その機能を低下させたり、中断させたり、損傷を与えたりしてはなりません。
• 問題を発見したら速やかに当社へ報告し、それを公に開示する前に、当社が 是正措置を講じるための妥当な機会を与えてください。
• 当社とテラダインとの間で、その詳細を機密として扱い、 公開することが適切であると双方が合意するまでは、その状態を維持してください。
• 調査結果やアクセスした事実を利用して、支払いを要求してはなりません。支払いの要求を添付して提出された報告書は、 研究ではなく恐喝として扱われます。

セーフハーバー

研究を行うにあたり、本ポリシーを遵守するために誠意をもって努力された場合、テラダインは その活動を正当なものとみなします。当社は、本ポリシーに従って行われた研究に関連して、 お客様に対して法的措置を講じたり、支援したり、法執行機関に通報したりすることは ありません。本ポリシーを遵守した研究を理由として第三者からお客様に対して法的措置が 講じられた場合、当社は当該研究が本ポリシーを遵守していたことを明らかにします。

本ポリシーは、当社の顧客やサプライヤーを含む第三者が所有するネットワークやシステム上で 何らかの行為を行うことを許可するものではなく、また、適用される法律に基づき 貴社が負う義務を免除するものでもありません。行おうとしている行為が許可されているか 不明な場合は、実行する前に、まず所定のフォームを通じて当社にご確認ください。

報告書に記載すべき内容

登録フォームでは、6つの短いセクションをご案内します。ご記入内容が詳細であればあるほど、 問題を迅速に再現し、影響を受けるコードを担当するエンジニアへ 引き継ぐことができます。以下の情報をあらかじめご用意ください。

添付ファイル

スクリーンショット、ログ、パケットキャプチャ、クラッシュダンプ、あるいは 概念実証（PoC）コードなどの裏付けとなる証拠を添付できます。このフォームでは、.txt、.py、.js、.html、.pdf、.png、 .jpg、.jpeg、.gif、.pcap、.cap、.zip、.tar、および.gz形式のファイルが受け入れられます。 すべての添付ファイルは、受信時にマルウェアのスキャンが行われます。アップロード前に、第三者の 個人情報を伏せてください。また、実際の顧客データを含めないでください。

送信後はどうなるのか

1. トラッキングIDが発行されます

   レポートが受理され次第、追跡IDが記載された自動送信の確認メールが届きます。 その後の連絡の際は、その追跡IDを必ず記載してください。そうすれば、弊社で即座にレポートを特定することができます。

2. それらを優先順位付けして振り分けます

   ご報告いただいた内容は、深刻度および規制上の重要度について評価された後、 影響を受ける製品を担当する製品セキュリティチームに転送されます。そのチームから指名された担当者が 対応にあたります。

3. その内容を検証し、評価します

   当社のエンジニアが問題の再現を試み、CVSSを用いて深刻度を評価します。 詳細情報が必要な場合は改めてご連絡いたします。また、評価結果については、 脆弱性ではないという結論に至った場合でも、その理由を含め、すべてお伝えいたします。

4. 当社は修復を行います

   確認された問題は、当社のエンジニアリングシステムにおいて修正されるまで追跡されます。対応までの期間は、 問題の重大度および影響を受ける製品のリリース・認定サイクルによって異なります。 産業用および安全関連機器については、修正内容が出荷前に検証される必要があります。 進捗状況については随時お知らせいたします。

5. 私たちは共に情報を開示します

   必要に応じて勧告を公開し、該当する場合はCVE 識別子の割り当てを申請します。公開のタイミングについては貴社と調整し、ご希望に応じて貴社をクレジットとして記載します。 規制当局やCSIRTへの通知が必要となった場合は、通知を行い、その旨を貴社にお知らせします。

もしこれが製品の脆弱性ではない場合

お問い合わせの内容が適切な担当者に届くよう、適切なチャネルをご利用ください。このプロセスは セキュリティ上の脆弱性が疑われる場合のみご利用ください。

• セキュリティ以外の製品に関する不具合、または製品についてサポートが必要な場合： 通常ご利用のサポート窓口を通じて、Teradyneのサポートまでご連絡ください。
• 広告、販売、または一般的なお問い合わせについては、 当ウェブサイトの他のページにあるお問い合わせ方法をご利用ください。
• ご使用中のテラダイン製機器に影響を及ぼす可能性のあるセキュリティインシデントが疑われる場合： 直ちにテラダインのサポート担当者にご連絡いただき、 セキュリティインシデントであると思われる旨をお伝えください。
• テラダインを装ったフィッシングメールやウェブサイトを見つけた場合は、 所定のフォームから報告し、「情報漏洩」または「セキュリティ設定の不備」を選択してください。 そのメッセージに対しては、それ以上一切操作を行わないでください。