バグバウンティ・脆弱性報告

届いた報告を、対応できる仕事に変える。

報告先を公開するだけでは運営できません。テストのルールと受付方法を整え、届いた報告が本物か、既知の問題か、どんな影響があるかを確認します。

  • ルール作り
  • 受付
  • 技術確認
  • 開発チームへの引き継ぎ
01研究者が許可範囲を確認できます。
02開発者が再現できる報告を受け取れます。
03採否や報奨の最終判断はお客様が行います。

対応内容

立ち上げも、既存の報告整理も。

最初の報告が届く前から、稼働中のプログラムの整理まで対応します。

01 / 対応内容

ルールの作成

テスト可能な資産、禁止事項、報告方法を文書にします。

02 / 対応内容

受付の準備

報告先、緊急連絡先、判断者を決めます。

03 / 対応内容

技術トリアージ

許可範囲と証拠を確認し、安全に再現を試みます。

04 / 対応内容

重複の確認

過去の報告や既知の問題と照らし合わせます。

05 / 対応内容

影響の説明

実際に何が起き得るかと不確実な点を整理します。

06 / 対応内容

修正への引き継ぎ

再現手順と証拠を開発チームへ渡します。

進め方

報告キューに触る前に、権限を確認します。

対象、アクセス、データの扱い、対応時間、最終判断者を合意します。

01

担当者と会う

対象、連絡先、判断権限を確認します。

02

開始点を整理

新規ならルールと受付を作り、既存なら報告キューを見ます。

03

報告を確認

証拠と重複を調べ、許可された範囲で再現します。

04

進め方を見直す

判断の滞りや繰り返す問題を定期的に確認します。

納品するもの

誰が最終判断をしますか。

私たちは技術的な確認と、開発チームが使える説明を担当します。受け入れ、報奨、修正、公開の最終判断はお客様が行います。

対応時間や継続支援の範囲は、報告数と社内体制に合わせて事前に決めます。

相談の目安

こんなときにご相談ください。

01

窓口を新設したい

報告先を公開する前に、ルールと担当者を決めたい。

02

報告がたまっている

本物、重複、情報不足を分ける時間が足りません。

03

修正につながらない

報告から開発者が使える再現手順を作る必要があります。

よくある質問

報告プログラムについて。

現在のプログラムがなくても相談できます。

新しいプログラムの立ち上げも頼めますか。

はい。対象、ルール、受付、緊急連絡の流れを一緒に準備します。

既存の報告だけ見てもらえますか。

はい。範囲を決めて、既存の報告の再現性、重複、影響を確認できます。

報奨金も決めてもらえますか。

技術的な情報は提供しますが、報奨や公開の最終判断はお客様が行います。

研究者との連絡も含まれますか。

含めるかどうかは受付方法と社内担当に合わせて契約前に決めます。

いまの報告の流れを聞かせてください。

立ち上げから必要か、既存の報告整理から始めるかを一緒に決めます。

プログラムを相談する