日本初のバグバウンティ・プラットフォーム「BugBounty.jp」大手企業も導入するその魅力とは【株式会社スプラウト】

どうも、サイバ課長サイよー。

皆さんは「バグバウンティ」という言葉を耳にしたことはあるサイか。これは、企業が自社のウェブサービスやアプリケーションのセキュリティ調査案件を一般公開し、ホワイトハッカーらが脆弱性（バグ）を発見・報告することで報奨金が受け取れる制度。「脆弱性報奨金制度」、「バグ報奨金制度」とも呼ばれているサイね。

近年、サイバー攻撃によって脆弱性が顕著化しているサイ。ネットビジネスを展開する企業にとってみれば、第三者の目線で調査するホワイトハッカーがいると心強いサイよ。

株式会社スプラウトは日本初のバグバウンティ・プラットフォーム「BugBounty.jp」を設立、運営する会社。早速、高野聖玄代表取締役社長に話を聞いて見るサイね。

ごめんくだサーイ！

この記事の目次

1 低コストでセキュリティ向上を図れる「バグバウンティ」
2 登録ホワイトハッカーはおよそ1500人
3 バグバウンティのカルチャーを根付かせる
4 最後に
5 企業情報

低コストでセキュリティ向上を図れる「バグバウンティ」

「BugBounty.jp」の運営を行うスプラウトとはどのような会社サイか。

代表取締役社長高野聖玄氏

高野聖玄氏（以下、高野）
サイバーセキュリティ企業として2012年に設立されました。主な業務はサイバーセキュリティ事業やインターネットメディア事業です。ウェブアプリケーションやスマートフォンアプリケーションにおける脆弱性診断やペネトレーションテスト（疑似侵入テスト）、ダークウェブの調査、インシデントレスポンスなどを行っています。

社員は10数人で、ホワイトハッカーやコンサルタント、アナリティストが在籍。上記に加え、コンサルティング、リサーチ、デジタル・フォレンジックも提供しています。

なぜ「BugBounty.jp」を立ち上げようと思ったサイか。

高野
バグバウンティという制度は、欧米などのセキュリティリテラシーが高い企業で積極的に導入されています。特にシリコンバレーの大手IT企業ではバグバウンティの導入は当たり前になりつつあります。これを日本でも広めていこうというのが目的です。

バグバウンティの報奨金は、企業側が脆弱性のレベルに応じて設定可能。報奨金の対象となるのは技術的な裏付けを確認できた報告だけなので、少ないコストでセキュリティ向上を図れることが利点です。

既に大手企業が導入しているサイね。

高野
「BugBounty.jp」を立ち上げて3年目ですが、2018年10月時点で16社が導入。スカイマークやエイベックス・グループ・ホールディングスなどの大手企業もこちらのプラットフォームを利用しています。

サイトBugBounty.jp

用意しているプログラムは「パブリックプログラム」と「プライベートプログラム」の2種。パブリックプログラムは「BugBounty.jp」に登録している世界中のハッカーに向けて募集プログラムを公開します。様々なスキルを持つ多数のハッカーが調査するので、より多くの脆弱性発見が期待できます。

プライベートプログラムは一部のハッカーに限定して公開するもの。ローンチ前のサービスを日本人ハッカーに限定して募集するなど、企業の目的によって選べます。

なるほど。では、もっと具体的に「BugBounty.jp」の特徴を教えてくだサイ！

高野
まず、第三者がチェックするということ。様々なタイプのホワイトハッカーが、攻撃者の視点からチェックを行います。これは自社のセキュリティレベルを知る上で非常に役立ちます。

また、コストパフォーマンスが高いのも特徴です。「BugBounty.jp」の初期費用は0円で完全成果報酬型。例えば脆弱性対応チームを外部に委託したり一から立ち上げたりするとなると、多大なコストが発生してしまいます。「BugBounty.jp」は、報奨金や調査領域を自ら設定できるので、自社の都合に合わせてホワイトハッカーに依頼することが可能です。

サイバーセキュリティ企業のスプラウトが運営するということも大きいサイよ。

高野
そうですね。弊社ではホワイトハッカーから報告された脆弱性の再現確認を代行し、脆弱性と判断された場合はリスクレベルや優先度の判別を行う「トリアージ・サポート」も提供しています。