⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

バグバウンティプログラム規約

第1部: 書式本文

第1条(目的) 本規約は、〇〇〇〇(以下「当社」という。)が実施するバグバウンティプログラム(以下「本プログラム」という。)において、当社のシステムに存在する脆弱性を発見し報告した研究者(以下「報告者」という。)に対する報奨金の支払条件及び当事者の権利義務を定めることを目的とする。

第2条(調査許諾の範囲) 1. 当社は、本プログラムに参加する報告者に対し、別紙に定める対象システムの範囲(スコープ)及び禁止事項の範囲内において、脆弱性の調査を行うことを許諾する。 2. 報告者は、別紙に定めるスコープ外のシステムに対して調査を行ってはならない。

第3条(禁止行為) 報告者は、調査にあたり次の各号の行為を行ってはならない。 一 サービス運用妨害(DoS/DDoS)となる手法の実施 二 他の利用者のアカウント又はデータへの、正当な権限を超えたアクセス 三 発見した脆弱性の第三者への開示、公表又は当該脆弱性を利用した攻撃 四 ソーシャルエンジニアリング(当社従業員又は利用者に対する詐欺的な情報取得の試み) 五 物理的な侵入行為

第4条(不正アクセス禁止法等との関係) 当社は、本規約に定めるスコープ及び禁止事項の範囲内で行われる調査行為が、不正アクセス禁止法第3条にいう不正アクセス行為に該当しないことを確認する。ただし、報告者が第2条又は第3条に違反して行った調査については、この限りでない。

第5条(報告手続) 1. 報告者は、発見した脆弱性について、当社が指定する窓口を通じて、再現手順、影響範囲及び深刻度の評価を含む報告を行う。 2. 報告者は、当社が脆弱性の修正を完了するまでの間、当該脆弱性の内容を第三者に開示してはならない(以下「責任ある開示の原則」という。)。

第6条(報奨金の支払) 1. 当社は、報告された脆弱性の深刻度及び新規性(既知の脆弱性でないこと)を審査のうえ、別紙に定める基準に従い報奨金を決定する。 2. 次の各号に該当する報告については、報奨金の支払対象としない。 一 既に当社が把握していた脆弱性 二 他の報告者から既に報告済みの脆弱性(先着順とする。) 三 スコープ外のシステムに関する報告 四 理論上の脆弱性であって、実際の悪用可能性の実証(Proof of Concept)を伴わない報告 3. 当社は、報奨金の審査結果及びその理由を報告者に通知する。

第7条(IPA早期警戒パートナーシップとの関係) 当社は、独立行政法人情報処理推進機構(IPA)「情報セキュリティ早期警戒パートナーシップガイドライン」の趣旨を踏まえ、脆弱性関連情報の適切な流通及び責任ある開示の原則を尊重した運用を行う。

第8条(修正状況の共有) 当社は、報告を受けた脆弱性の修正対応の状況について、合理的な範囲で報告者に進捗を共有する。

第9条(免責) 当社は、報告者に対し、本規約に定める範囲内での調査行為に関して、当社から法的措置(民事上又は刑事上の請求・告訴を含む。)を行わないことを約する。ただし、第2条又は第3条に違反する行為があった場合は、この限りでない。

第10条(公開の取扱い) 報告者は、当社の修正完了後、当社の事前の書面による承諾を得た場合に限り、発見した脆弱性の概要を公表することができる。

第11条(参加資格) 当社は、過去に本規約に違反した者又は反社会的勢力に該当する者について、本プログラムへの参加を認めない。

第12条(規約の変更) 当社は、本規約を変更することができるものとし、変更後の規約は当社ウェブサイトへの掲示をもって効力を生じる。

第13条(合意管轄) 本規約に関する紛争については、〇〇地方裁判所を第一審の専属的合意管轄裁判所とする。

第2部: 立場別・場面別の書き換えパターン

A. 主催企業向けの修正

A-1. 報奨金支払を審査完了後の一定期間内に限定

修正後:「当社は、報奨金の支払対象と決定した報告について、決定後60日以内に支払う。ただし、修正対応の完了を条件とする場合は、修正完了後60日以内に支払う。」 一言解説: 報奨金の支払時期を修正完了と紐づけることで、報告者による早期公表のインセンティブを抑制し、責任ある開示の原則の実効性を高める修正である。

A-2. スコープの動的な変更権限の明記

追加条文例:「当社は、システムの改修状況に応じて、対象システムの範囲(スコープ)を随時変更することができ、変更後のスコープは当社ウェブサイトへの掲示をもって効力を生じる。」 一言解説: システム構成の変更に応じて調査対象範囲を柔軟に更新できるようにする主催企業側の修正である。

B. 報告者(研究者)向けの修正

B-1. 報奨金審査基準の透明性向上

修正後:「当社は、報奨金の金額を決定するにあたり、脆弱性の深刻度評価に共通脆弱性評価システム(CVSS)等の客観的な指標を用い、その適用結果を報告者に開示する。」 一言解説: 報奨金額の決定が主催企業の恣意的な判断に委ねられることへの懸念に対応し、客観的な評価基準の適用を求める報告者側の修正である。

B-2. 免責の適用範囲の明確化

修正後:「第9条の免責は、報告者が善意に基づき本規約の範囲内で行った調査行為全般に適用され、結果として軽微な技術的違反(意図しないスコープの逸脱等)があった場合であっても、悪意がない限り免責の対象とする。」 一言解説: 調査の過程で意図せず軽微にスコープを逸脱してしまった場合にまで免責が失われることへの懸念に対応し、善意の調査者を広く保護する修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、不特定多数のセキュリティ研究者に対し、自社システムの脆弱性発見と報告を奨励し、報奨金を支払う制度(バグバウンティプログラム)を運営する場面で用いる。特定の1社に依頼して脆弱性診断を実施してもらう場合には脆弱性診断業務委託契約書を、実際の侵入を模した高度な検証を委託する場合にはペネトレーションテスト実施同意書を、それぞれ用いるべきであり、本規約は不特定多数を対象とした恒常的な制度である点で異なる。

根拠法令 本規約においても、脆弱性診断業務委託契約書等と同様に、不正アクセス禁止法第3条との関係が重要な論点となる。本プログラムでは、スコープを明示的に公表し、その範囲内での調査を包括的に許諾することにより、多数の不特定の研究者による調査行為を適法なものとして位置づける構造をとっている。この点で、個別に契約書を締結する脆弱性診断とは異なり、規約による包括的な事前承諾という形式をとる点に特徴がある。また、脆弱性情報の取扱いについては、独立行政法人情報処理推進機構(IPA)が経済産業省と共同で策定する「情報セキュリティ早期警戒パートナーシップガイドライン」が、発見された脆弱性関連情報を適切な期間内に製品開発者に通知し、対策が講じられるまでは公表を控えるという「責任ある開示(Coordinated Disclosure)」の考え方を示しており、実務上のベストプラクティスとして参照されている。本規約における責任ある開示の原則(第5条第2項)は、このガイドラインの趣旨を契約上具体化したものである。

実務でよくある失敗と対策 第一に、スコープ(対象システムの範囲)の記載が曖昧で、報告者が善意で調査した対象がスコープ外であったと事後的に判明し、免責が受けられずトラブルになる失敗がある。第2条のようにスコープを別紙で具体的に特定し、B-2のように軽微な逸脱についての救済も検討することが対策となる。第二に、報奨金の審査基準が不透明で、報告者から「恣意的に低い評価をされた」との不満が生じ、優秀な研究者からの協力が得られなくなる失敗がある。B-1のような客観的な評価指標(CVSS等)の活用が対策となる。第三に、報告された脆弱性の修正が長期間放置され、報告者が業を煮やして責任ある開示の原則に反して先に公表してしまい、ゼロデイ攻撃のリスクが顕在化する失敗がある。第8条のように修正状況を適時に共有し、A-1のように報奨金支払のタイミングを工夫することで、報告者が公表を急ぐインセンティブを抑制することが対策となる。

不正アクセス禁止法上の適法性の確保及び責任ある開示の運用については、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 対象システムの範囲(スコープ)を具体的に定めたか
• [ ] 禁止行為(DoS・不正アクセス・ソーシャルエンジニアリング等)を列挙したか
• [ ] 免責が適用される調査行為の範囲を明確にしたか
• [ ] 責任ある開示の原則(修正完了までの非公表義務)を明記したか
• [ ] 報奨金の審査基準及び支払対象外となる場合を定めたか
• [ ] 報奨金の審査結果の通知方法を定めたか
• [ ] IPA早期警戒パートナーシップガイドラインの趣旨を踏まえた運用を確認したか
• [ ] 修正状況の報告者への共有方法を定めたか
• [ ] 公表時の事前承諾手続を定めたか
• [ ] 参加資格の制限(過去の違反者等)を定めたか