最終更新日：
バグバウンティとは、自社のシステムやサービスの脆弱性を外部の調査者に探してもらい、条件を満たす報告に報奨金を支払う制度です。
バグバウンティでは、対象のシステム、試してよい方法と禁止する方法、報告のしかた、報奨金の決め方などを、あらかじめルールとして公開します。社内の担当者や決まった診断会社だけでは見つけにくい脆弱性が、多くの目で見つかることが期待されます。仲介するプラットフォームを使って運営する会社もあります。
始める前に、届いた報告を確かめて直す体制が要ります。報告が届いても直せないままでは、かえって危険な情報を抱えることになります。脆弱性診断やペネトレーションテストで基本的な対策を済ませてから、補う手段として使われることが多くあります。
日本には、ソフトウェアやWebサイトの脆弱性の情報を公的に取り扱う仕組みとして、IPAとJPCERT/CCなどが運営する「情報セキュリティ早期警戒パートナーシップ」があり、報奨金はありませんが、脆弱性を見つけた人がIPAに届け出ることができます。自社のサイトに、脆弱性の連絡先を載せておく方法もあります。