(MBSD)「セキュリティ業界は、社会を守る使命感を持って入ってくる人がほとんどです。コンテストやバグバウンティへの参加は、セキュリティ専門企業だからこそできる、有志のエンジニア達を成長させるひとつの有効な方法だと思っています。株式会社などで実施が進み、一定の成果を挙げることに成功している。脆弱性を探し出す技術者は「バグハンター」と呼ばれ、これまで本誌で報じたように、高額報奨金を受け取るハンターも存在する。)は、バグハンターを企業として積極的に育てているという。報告件数を見ると、MBSDが他のセキュリティ企業より多いですね。2016年4月1日から6月24日までの間にJVNで公表された脆弱性報告のうち17件をMBSDのエンジニアが発見し、日本のセキュリティ企業として最多となりました。件数だけでなく、その中には深刻度の高い脆弱性が含まれています。計8名の当社エンジニアが報告を行っており、ひとつの企業からの報告人数として最多です。――脆弱性を探すバグハンティングを、会社の業務として認めている理由はなんですか。アプリケーションなどのセキュリティ診断事業を行っています。そのなかで、最も重要な要素と思うからです。●いいセキュリティ診断会社とは――そもそも、いいセキュリティ診断会社の条件を、MBSDではどう定義しているのですか。事業として、リセラーのような製品の物販だけではなく、サービスを提供できるかどうかが重要となります。体制として、診断を行う充分な数の技術者が在席していることも大切です。技術力は技術者の数にある程度比例するからです。診断手法として、既成の診断ツールを回すだけでなく、診断員による目視と手動操作による攻撃試行を行うかどうかや、より深い診断のために自社で開発したツールを持っているかどうか、そして、診断終了後の報告書に、具体的対策まできちんと提案されているかどうか等もポイントとなると思います。加えて、サイバー攻撃の生の実態を情報共有するプラットフォームとなる、セキュリティオペレーションセンター(SOC)を運営していると望ましいでしょう。これらの条件を満たすことに加えて、診断員が新しいバグを発見する能力を最重要視しています。「攻撃は最大の防御」という言葉通りで、当社は「守る力」イコール「攻撃する力」と考えます。相手の攻撃手法を勉強していなければ、顧客のシステムを守ることなどできません。●バグバウンティで獲得した1,000万円を超える賞金は担当者が受け取り――広範に脆弱性の発見能力を磨く活動をしていますね。2013」につづいて2年連続で入賞することができました。おいて任意のコマンドを実行される脆弱性(CVSS7.5)」を弊社エンジニアが国内で最初に報告しています。脆弱性発見など、弊社エンジニアが国内外で多くの実績を上げています。賞金が高額なことでも有名です。S5最新版のゼロデイ脆弱性発見では、6万USドルの賞金を獲得しています。――あわせて1,000万円近い額ですが、その賞金は誰がどのように受け取ったのですか?弊社エンジニアがコンテストやバグバウンティで獲得した賞金や報奨金は、全てその実務に携わったエンジニア個人、チームメンバーが受け取ります。彼らのモチベーション向上の要因になっているようです(笑)。――そういった業績は評価や報酬に反映されるのですか。弊社では、申請をすれば業務の20%を研究時間に充てることが可能で、脆弱性発見を自己啓発の目標として掲げているエンジニアは、評価の対象となることもあります。――会社としてバグバウンティやコンテストに取り組むメリットは何でしょう。ITの中でもセキュリティは異質な領域だと私は考えています。セキュリティというのは攻撃を仕掛けてくる「敵」が必ず存在するんですね。重視されますが、そこにはルールや法律の埒外にある「敵」が存在しません。セキュリティ業界は、敵から社会を守るという志を持って、使命感を持って入ってくる人がほとんどです。コンテストやバグバウンティへの参加は、セキュリティ専門企業だからこそできる、そういった有志のエンジニア達を成長させるひとつの有効な方法だと思っています。――運用上の課題はありますか。業務と研究時間との兼ね合いでしょうか。繁忙期では中々研究時間が取れないのが実情です。攻撃観点の共有や育成の為の勉強会も欠かせないので、エンジニア主体の勉強会を活発に実施しています。/発見方法の解説」等々さまざまで、エンジニアがテーマを決め、興味のある勉強会に参加する形式です。勉強会は毎週実施しているのですが、エンジニアの参加率はとても高くなっています。した、常に最新の脆弱性を追求し、その攻撃観点を他のエンジニアと共有していく仕組み作りが重要だと思っています。――ありがとうございました。サイトに掲載の記事・見出し・写真・画像の無断転載を禁じます。+1ラインに送るはてなブックマーク。