バグバウンティとは？種類（仕分けを任せる型・自社で検証する型）の違いと、価格・準備の選び方

バグバウンティとは

バグバウンティは、脆弱性報奨金制度とも呼びます。有効な報告にだけ報奨金を払うので、費用を成果に合わせられます。

比較ページには、日本の会社が自社のサービスとして提供している基盤を載せています。

2つの型

• 報告の仕分けを任せる型は、一次レビューと優先度付けを基盤の会社の担当が行います。例はIssueHunt バグバウンティです。
• 自社で検証する型は、報告が有効かを自社で判断します。例はBugBounty.jpで、判断が難しいときは運営スタッフの助けをオプションで頼めます。

脆弱性診断との違い

• 脆弱性診断は作業に料金を払います。
• バグバウンティは有効な報告に報奨金を払います。
• BugBounty.jpは、長期の精査と多面的な調査をバグバウンティの利点に挙げています。

募集の出し方

• パブリックは、基盤の上で一般公開する募集です。多数の報告を受け取りやすくなります。
• プライベートは招待制です。初めての実施や、システムの負荷を減らしたいときに向きます。

価格

• IssueHunt バグバウンティは、初期費用と月額費用が無料で、手数料はホワイトハッカーへの支払額の20%です。
• BugBounty.jpの導入例は、報奨金20万円に手数料4万円（報奨金の20%）⁠で⁠⁠⁠⁠す⁠。
• 税の扱いは公式のページに書かれていません。見積もりで確かめます。

始める前に決めること

• 報告を読む人を決めます。社内にいなければ、仕分けを任せる型を選びます。
• 報奨金の額を脆弱性の種類ごとに決めます。
• 調べてよい範囲とルールを決めます。