バグハンターとの信頼を醸成 - サイボウズが4年ぶりに合宿イベント

バグハントは、製品が動作する検証環境をネットワーク経由で調査するかたちで実施されるが、今回は一部製品の「ソースコード」が特別に開示された。

ソースコードは隔離された環境に用意されており、一定時間閲覧できる（内容が判別できないよう画面部分は加工済み）

外部から確認できる挙動に加え、ソースコードの側面からもソフトウェアの動作を確認できるため、あらたな脆弱性の報告にもつながっている。

ソースコードの閲覧には、他環境から隔離された専用端末を別途用意。対象製品や閲覧時間も制限されており、参加者からはさらなる開示を望む声も聞かれた。

とはいえ、運営側としては、はじめての試みであり苦労も少なくなかったようだ。

プロプライエタリのソフトウェアにおいてソースコードは知的財産の根源とも言える。開発部門や法務部門など含め、社内において事前に同意形成を行わなくてはならない。

脆弱性対策が重要であるとの社内共通認識のもと、脆弱性報奨金制度を通じて信頼関係を醸成してきたなじみあるバグハンターを招待することで実現を果たした。

（Security NEXT - 2023/12/27 ）ツイート