サイボウズが支払う2015年分の脆弱性報奨金額はおよそ600万円

谷川耕一 2016年02月02日 15時55分

  • このエントリーをはてなブックマークに追加

 サイボウズの脆弱性報奨金制度は「社内では検出されないような未知の脅威への対策です。外部のバグ発見者の善意による報告であり、これで脆弱性発見の幅を広げるものです」と言うのは、サイボウズ 品質保証部 伊藤顕嗣氏だ。サイボウズは、通称「バグハンター」と呼ばれる社外のハッカーから、製品やサービスの脆弱性を報告してもらい、その深刻度に応じ報奨金を払う制度を実施している。1月28日、2015年の同制度の結果報告が行われた。


サイボウズ 品質保証部 伊藤顕嗣氏

 2015年は238件の脆弱性の連絡があり、116件を脆弱性として認定。うち1件は深刻度レベルIIIと高いものだった。これに対し報告者に支払う報奨金は、およそ600万円になる予定とのこと。78件の報告については現在まだ評価中であり、報奨金の額は今後少し増えることになりそうだ。

 報告された脆弱性の認定率は65%で、報奨金の最高額は21万3000円、報奨金の平均額は3万4801円となっている。また1人で獲得した報償金の最高額は92万1000円だった。2014年と比較して、脆弱性の報告件数は減少している。深刻度の高い脆弱性も10件から1件へと大きく減少しており、この結果はサイボウズ製品やサービスのセキュリティ性は高まっているととらえていいのだろう。

 とはいえ、認定した脆弱性のうち2014年は81件を改修できたが、2015年は45件に止まっている。「ここは今後改善すべきポイントです」と伊藤氏は言う。

 報告された脆弱性は、2014年はクロスサイトスクリプティングが56件と多く、重要な情報の漏洩にもつながりやすいSQLインジェクションも2件あった。これが2015年は、クロスサイトスクリプティングは24件に減少しSQLインジェクションの報告はなくなっている。

 2015年に数的に多かったのは不適切な入力の確認で、こちらは前年の18件から27件に増加した。傾向としてはクロスサイトスクリプティングなど手法が明らかで典型的とも言える脆弱性の報告が減っている一方で、脆弱性が複雑化しており、サイボウズ側で脆弱性と把握していない、あるいは把握するのが難しいものが増えていると言う。

 2016年の報奨金制度では、新たにモバイルサービスが2件、周辺サービスである「サイボウズ Desktop」の3つが報告対象に加わっている。2016年の制度でもっとも大きな変更は、脆弱性の評価方法が共通脆弱性評価システムCVSS(Common Vulnerability Scoring System)のv2からv3に変更されることだ。

 これにより攻撃の難易度および攻撃の影響度を掛け合わせた形で深刻度を評価することになる。評価方法の変更により、認定する件数は今後若干増えることになりそうだと伊藤氏は説明する。

 CVSS v3への変更に合わせ報奨金獲得テーブルも変更された。「より深刻度の高い脆弱性については、報奨金額を増加しています」と伊藤氏。CVSSの評価で「緊急」レベルの脆弱性については「CVSS v3の基本値×5万円」となっている。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

  • このエントリーをはてなブックマークに追加

この記事を読んだ方に

関連ホワイトペーパー

連載

CIO
IT部門の苦悩
Rethink Internet:インターネット再考
インシデントをもたらすヒューマンエラー
トランザクションの今昔物語
エリック松永のデジタルIQ道場
研究現場から見たAI
Fintechの正体
米ZDNet編集長Larryの独り言
大木豊成「仕事で使うアップルのトリセツ」
山本雅史「ハードから読み解くITトレンド放談」
田中克己「2020年のIT企業」
松岡功「一言もの申す」
松岡功「今週の明言」
内山悟志「IT部門はどこに向かうのか」
林 雅之「デジタル未来からの手紙」
谷川耕一「エンプラITならこれは知っとけ」
大河原克行「エンプラ徒然」
内製化とユーザー体験の関係
「プロジェクトマネジメント」の解き方
ITは「ひみつ道具」の夢を見る
セキュリティ
「企業セキュリティの歩き方」
「サイバーセキュリティ未来考」
「ネットワークセキュリティの要諦」
「セキュリティの論点」
スペシャル
ざっくりわかるSNSマーケティング入門
課題解決のためのUI/UX
誰もが開発者になる時代 ~業務システム開発の現場を行く~
「Windows 10」法人導入の手引き
ソフトウェア開発パラダイムの進化
エンタープライズトレンド
10の事情
座談会@ZDNet
Dr.津田のクラウドトップガン対談
Gartner Symposium
IBM World of Watson
de:code
Sapphire Now
VMworld
Microsoft WPC
Microsoft Connect()
HPE Discover
Oracle OpenWorld
Dell EMC World
AWS re:Invent
AWS Summit
PTC LiveWorx
より賢く活用するためのOSS最新動向
古賀政純「Dockerがもたらすビジネス変革」
中国ビジネス四方山話
ベトナムでビジネス
米株式動向
日本株展望
企業決算