IntelとMicrosoftが、それぞれ新しいバグ報奨金制度をスタートさせた。深刻度の高い脆弱性に対する報奨金は1万ドルを超える。
Intelは米国時間3月15日、セキュリティカンファレンス「CanSecWest」で、HackerOneと協力して新しくバグ報奨金制度を設けると発表した。これまで、Microsoft、Facebook、Googleなどの企業が同様の枠組みでバグ報奨金制度を設けているが、Intelがこの種の制度を設けるのは初めてだ。
同社によれば、発見された脆弱性の緩和が困難であるほど、報奨金の額は大きくなる。
このプログラムを通じて同社に開示された深刻度の高いIntel製ソフトウェアのバグには最大7500ドル、ファームウェアの脆弱性には最大1万ドル、ハードウェアに存在する脆弱性には最大3万ドルが支払われる。深刻度の評価には、CVSSスコアが用いられるという。
Intel Security（McAfee）製品、サードパーティー製品、Intelのウェブインフラはこの制度の対象にならない。
また同日、Microsoftも「Microsoft Office Insider」プログラム向けの新たなバグ報奨金制度を発表した。同社によれば、このプログラムでは完全にパッチが適用された「Windows 10」のデスクトップ上で実行される、Office Insiderスロービルドに発見された脆弱性1件につき、500〜1万5000ドルが支払われる。
このプログラムは6月15日まで実施される。
バグ報奨金制度は、セキュリティ研究者に報酬を得る機会を提供するが、企業側にとってもメリットがある。企業にとっては、ゼロデイ脆弱性が修正前に悪用された場合のダメージコントロールに必要な費用（および評判が傷つくことによる金銭的被害）を抑えられる可能性がある。
提供：NopSec
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
