セキュリティ更新方針

制定日: 2026年6月6日 (v1) / Security Update Policy v1

株式会社SHIMOHA（以下「当社」）は、当社が提供するIoT製品およびクラウドサービス（以下「本製品等」）のセキュリティ品質を長期にわたり維持するため、本方針を定め、これに基づきセキュリティ更新（ファームウェアおよびクラウド側ソフトウェアの更新）を提供します。本方針は、IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」★1 適合基準 S1.1-06〜S1.1-09 の要求事項に対応します。

1. 適用対象

当社が製造・販売するIoT機器のファームウェア（OSS 部品を含む）
当社が提供するクラウドサービスおよびそのバックエンドソフトウェア
当社が提供するクライアントアプリケーション（Windows / iOS / Android）

2. 更新の種類と配信方針

区分	内容	標準配信タイミング
緊急セキュリティ更新	悪用例が確認された脆弱性、または CVSS v3.1 で 9.0 以上の Critical 脆弱性	確認後 14 日以内を目標
重要セキュリティ更新	CVSS v3.1 で 7.0〜8.9 の High 脆弱性	確認後 30 日以内を目標
通常セキュリティ更新	CVSS v3.1 で 7.0 未満の脆弱性、依存 OSS の定期更新	原則 90 日以内
機能更新	機能追加・改善を含む更新	四半期ごとを基本

製品の特性上、ハードウェア改修や大規模なシステム改修が必要な場合は上記目標を超える場合があります。その際は本ページおよび当社サイトの「お知らせ」で進捗を共有します。

3. 更新の配信方式

IoT機器: OTA（Over-The-Air）配信を基本とし、デバイスがネットワーク接続時に自動で受信・適用します。利用者は当社アプリから手動で更新確認・適用も可能です。
クラウドサービス: 当社側でローリングデプロイを行い、利用者の操作を必要としません。重要更新時は事前にメンテナンス通知を送付します。
クライアントアプリ: 各プラットフォームのストア（Microsoft Store / App Store / Google Play）または当社配布チャネルから配信します。

4. 更新の完全性検証

当社の OTA 配信ファームウェアは、当社が管理する秘密鍵による電子署名を付与しています。
デバイス側で署名検証に失敗した更新パッケージは、適用前に破棄されます。
更新通信は TLS で保護され、通信路上での改ざんを防止します。

5. 更新内容の通知

当社サイトの「お知らせ」ページに掲載します。
クライアントアプリ内通知、および当社が把握している契約者宛メールでも案内します。
緊急セキュリティ更新は、公表後速やかに上記すべてのチャネルで周知します。

6. サポート期間

各製品のセキュリティ更新提供期間（サポート期間）は「製品サポート期間一覧」ページに掲載しています。サポート期間中は、本方針に従って当社がセキュリティ更新を提供します。サポート期間終了後の取扱いについては、同ページをご参照ください。

7. ユーザにお願いする事項

当社が配信した更新は速やかに適用してください。重要セキュリティ更新を適用しないまま使用された場合に生じた損害について、当社は責任を負いかねます。
更新が自動適用されるよう、デバイスをインターネットに接続したまま運用してください。
古いバージョンのアプリ・ファームウェアの動作互換性は、当社が公表したサポート期間に従います。

8. OSS（オープンソースソフトウェア）の取扱い

本製品等に組み込まれた OSS の脆弱性については、上流の修正リリースを継続的に監視し、本方針の配信タイミングに準じて取り込みます。

9. 制度上の位置付け

本方針は、IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」★1 適合基準のうち、S1.1-06（ソフトウェア更新メカニズム）、S1.1-07（更新手順の周知）、S1.1-08（完全性検証）、S1.1-09（セキュリティ更新方針の文書化）の要求事項に対応するものです。

10. 関連ページ

11. 改定履歴

v1: 2026年6月6日制定

所管: 株式会社SHIMOHA セキュリティ窓口 / 連絡先 support@shimoha.co.jp