資安維運承諾與適用範圍
本公司承諾依循 IEC 62443 系列標準，建立與維運全面性的產品資安政策，確保所有設備在整體生命週期內皆能持續獲得安全支援與漏洞修補。政策涵蓋安全更新管理、漏洞回應及風險通報流程，並參考歐盟《Cyber Resilience Act（CRA）》及《Radio Equipment Directive Delegated Act（RED-DA）》等法規要求，以及 NIST等國際資安準則，強化資安治理。本政策同時重視資訊透明與責任歸屬，確保客戶得以及時掌握產品資安狀況，提升整體韌性與信任基礎。
本政策適用於公司所有產品與韌體版本，涵蓋更新頻率、漏洞通報與回應、產品支援終止（EOS）公告，以及第三方軟體元件安全控管。無論產品部署於連網或氣隙環境，皆可取得必要的安全更新與資訊支援。
為因應資安事件，本公司已成立產品安全事件應變小組（PSIRT），負責事件調查與回應，確保產品安全事件得到即時處理與透明公告，並且建立了一套完整的產品安全事件管理流程，用於識別、評估及回應與產品相關的資安事件。
組織與責任分工
為有效管理產品安全事件，本公司成立產品安全事件應變小組（PSIRT），並明確分工如下：
產品安全主管（PSO）：負責資安策略決策、事件通報啟動及對外回應。
開發單位（RD）：負責漏洞修補設計與程式更新。
驗證單位（QA）：負責安全測試與修補驗證。
專案經理（PM）：協調內外部資源，確保溝通順暢。
技術支援（Support）：協助客戶及合作夥伴問題回覆及公告發布。
更新類型與頻率
例行性安全更新:
負責資安策略決策、事件通報啟動及對外回應。
緊急修補機制:
當發現高嚴重性漏洞（CVSS ≥ 7.0）時，我們將會啟動快速回應程序，目標在30天內提供可部署補丁。
更新取得方式:
- 官方網站下載中心
- 自助服務平台（支援查詢適用版本與技術文件）
- 技術支援服務（特別提供氣隙環境用戶的手動更新協助）
補丁交付時程依嚴重性等級定義
風險等級 | 早期警示 | 詳細報告 | 最終公告 | 說明 |
|---|---|---|---|---|
Critical | T+24h | T+72h | T+30天內修補 | 重大風險或已被利用事件 |
High | T+48h | T+7天 | T+45天內修補 | 高風險需公告，儘快納入修補流程 |
Medium | 不另行通知 | 不另行通知 | T+90天內修補 | 中等風險，納入版本更新 |
Low | 不另行通知 | 不另行通知 | T+90天內修補或下版更新 | 低風險或資訊性事件 |
*說明：T 為事件確認時間起算點。若事件涉及第三方組件，則以上游供應商公告時間為 T=0。
*遇特殊狀況（如技術限制或外部元件依賴），將依風險評估程序記錄並通報，確保溝通透明。
調查與分類流程
所有通報資訊將於10 個工作天內完成初步分析，確認：
1.該問題是否適用於本公司所支援產品
2.是否可重現並驗證問題存在
3.是否構成資安風險且可被利用
若資訊不足，將回覆請求補充。若屬以下情況，將記錄並結案：
- 問題已修補 / 重複通報
- 僅影響非支援版本
- 屬非資安議題或無實際利用風險
*完成初步確認並建立通報紀錄之時點即為 T（事件確認時間）。後續所有時效（如早期警示、詳細報告、最終公告）均以 T 為起算點。
資安維運的長期承諾
我們深知資安不是一次性的作業，而是一項持續性、與客戶共同努力的長期責任。因此，我們鄭重承諾：
- 所有安全更新皆具備明確的版本紀錄、可追溯性，並公開公告與版本說明供客戶查閱。
- 所有資安公告與 EOS 通知，均透過官網透明發布，協助客戶提前規劃更新與替換策略。
- 對於使用中產品，如發現任何潛在漏洞或風險，我們將依標準程序於合理時限內完成評估與處理，並提供必要之補救建議與修補措施。
- 我們保證在產品支援期間內，將持續提供資安更新、漏洞修補與技術諮詢服務，確保產品維持合規與安全。