ethical-hacking-ethics

倫理的なハッキングの倫理

倫理的なハッキングに関するガイダンス：バグ報奨金、ペネトレーションテスト、セキュリティ研究。

このスキルを使用する場面

• バグ報奨金プログラム（HackerOne、Bugcrowd、Intigriti、YesWeHack）への参加
• 許可を得たペネトレーションテストの実施
• 自身のシステムに対するセキュリティ研究の実施
• セキュリティテスト活動の合法性の評価
• 脆弱性開示レポートの作成

するべきこと — 必ず実行してください

1. 明示的な許可を得る

• 自身が所有していないシステムをテストする前に、書面による許可を得てください
• スコープを確認し、許可された資産を正確に把握してください
• 許可を記録し、書面による同意の記録を保管してください
• セーフハーバーの適用状況を確認し、プログラムにセーフハーバーポリシーがあることを確かめてください

2. プラットフォームのルールを遵守する

• テストを開始する前に、プログラム固有のルールを読み、理解してください
• プログラムで指定されたテスト期間を遵守してください
• 許可されたテスト方法のみを使用してください
• 公式チャネルのみを通じて報告してください
• 人間による確認が必須：HackerOne では、報告を提出する前に人間が検証する必要があります

3. 善意に基づくセキュリティ研究を実践する

システムには善意に基づくテストのみを目的としてアクセスし、個人や一般の人々に危害を及ぼさないようにしてください。調査結果はセキュリティの向上に役立ててください。

4. すべてを記録する

• すべてのテスト活動の詳細なログを保管してください
• レポート用に脆弱性の証拠を記録してください
• 発見および報告のタイムラインを記録してください
• プログラムの運営者とのやり取りをすべて記録してください

5. 責任ある開示を実践する

• 公式チャネルを通じて、脆弱性を速やかに報告してください
• 開示前に、修正のための妥当な期間を設けてください
• 影響を受ける組織と開示を調整してください
• プラットフォーム固有の開示ガイドラインに従ってください

6. データのプライバシーを尊重する

• データへのアクセスは、テストに必要な範囲に限定してください
• テスト中に発見した個人データを保存または共有しないでください
• データ漏えいの脆弱性は、悪用せずに報告してください
• GDPR および各地域のデータ保護法に従ってください

してはいけないこと — 絶対に行わないでください

1. 許可なくテストを行わない

• 明示的な許可なくシステムにアクセスしないでください
• 許可を推測せず、スコープを明確に確認してください
• 発見した場合でも、「スコープ外」の資産をテストしないでください
• 許可されたアクセス範囲を超えず、定められた境界内にとどまってください

法的リスク：CFAA（米国）および CMA 1990（英国）は、不正アクセスを禁止しています。罰則には懲役が含まれます。

2. 危害を与えない

• テスト中にデータを変更または破壊しないでください
• バックドアや永続的なアクセス手段を作成しないでください
• サービスや可用性を妨げないでください
• 証明に必要な範囲を超えてデータを持ち出さないでください

3. 恐喝や脅迫をしない

• 支払いを求めて脆弱性を公開すると脅さないでください
• 脆弱性を恐喝に利用しないでください
• 公開しない条件として報奨金を要求しないでください
• 結果：プラットフォームからの永久追放、および刑事訴追の可能性

4. 時期尚早な開示をしない

• 修正前に脆弱性の詳細を公開しないでください
• 許可なく調査結果を第三者と共有しないでください
• 関係者と調整せずに概念実証コードを公開しないでください
• 非公開プログラムの存在を開示しないでください

5. 欺瞞的な行為をしない

• 許可されたセキュリティ研究者になりすまさないでください
• 脆弱性レポートや証拠を偽造しないでください
• 自分の身元や所属を偽らないでください
• 報奨金を得るために虚偽のレポートを提出しないでください

6. プライバシー関連法に違反しない

• テストのスコープを超えて個人データにアクセスしないでください
• テスト中に発見した PII を保存または共有しないでください
• 必要な範囲を超えてプライバシー保護機能を回避しないでください
• GDPR およびデータ保護要件に従ってください

スコープ確認チェックリスト

テストを開始する前に、次の項目を確認してください。

• 承認文書：テストの書面による許可を得ていますか？
• 対象範囲内の資産：許可された対象をすべて特定していますか？
• 対象範囲外の資産：明示的に禁止されている対象を把握していますか？
• テスト方法：必須または禁止されている手法を把握していますか？
• 時間制限：指定されたテスト期間を把握していますか？
• セーフハーバー：プログラムにセーフハーバーポリシーがあり、それが遵守されていますか？
• 報告窓口：正式な脆弱性報告の手順を把握していますか？
• 情報開示ポリシー：発見事項を公開できる時期と方法を理解していますか？

承認の種類

種類	承認	セーフハーバー	備考
バグバウンティ	プログラムを通じた暗黙の承認	提供されている場合	プログラムのルールに従ってください
ペネトレーションテスト	書面による契約書／作業範囲記述書	契約による	NDA が必要な場合があります
VDP	プログラムへの招待	さまざま	通常、報奨金はありません
CTF	競技規則	定められた範囲内	競技中に限り合法です

承認に関するベストプラクティス

• 必ず書面で承認を得てください。口頭での承認では不十分です
• 対象範囲を明確に定義してください。「X 以外すべて」では曖昧すぎます
• 時間の境界を指定してください。テスト期間と期限を明記します
• エスカレーション手順を含めてください。問題が発生した場合の対応を定めます

責任ある情報開示のプロセス

1. 検証 - 問題を再現し、PoC を記録し、深刻度を評価し、重複を確認します
2. 報告 - 正式な窓口を利用し、説明＋手順＋影響＋修正方法を含めます
3. 調整 - 検証の時間を確保し、質問に回答し、スケジュールに合意します
4. 確認 - 修正が適用されたことを確認し、脆弱性が修正されたかテストします
5. 開示 - 合意した条件に従います（調整済み、限定的、全面的、または非開示）

越えてはならない一線 - 違反の深刻度

深刻度	違反	結果
重大	不正アクセス、データ窃取、サービス妨害、恐喝、ソーシャルエンジニアリング、物理的侵入	永久追放＋法的措置
深刻	早期開示、禁止された手法、第三者との共有、詳細の隠蔽	警告＋追放の可能性
軽微	意図しない対象範囲違反、不完全な報告、形式上の問題	指導＋警告

停止してエスカレーションすべき場合

直ちに停止する場合：

状況	対応
対象範囲外	停止し、記録して報告し、指示を待ちます
機密データの露出	調査を停止し、ダウンロードせず、直ちに報告します
サービスの中断（またはそのおそれ）	停止し、記録して報告し、指示を待ちます
停止を求められた	すべての活動を停止し、書面による確認を得ます

エスカレーションする場合：

• 法律上の質問 - 法律顧問に相談します
• 紛争 - プラットフォームに仲裁を依頼します
• プログラムから応答がない - プラットフォームのエスカレーション手順に従います
• 犯罪行為を発見した - 当局に報告します
• 安全上の懸念 - 人の安全が危険にさらされる場合はエスカレーションします

法的枠組みの概要

管轄区域	法律	主なポイント
US	CFAA (18 U.S.C. § 1030)	不正アクセスを禁止します。Van Buren（2021）により適用範囲が限定されました。
UK	CMA 1990	「善意」の抗弁はありません。第1条：最長2年。セーフハーバーに相当する制度はありません。
EU	GDPR	データを扱うには法的根拠が必要です。侵害は72時間以内に報告してください。

その他の管轄区域：カナダ、オーストラリア、ドイツ、フランス、日本にも同様の法律があります。国際的なテストを行う前に、現地の法律を調べてください。

参考資料：CFAA | CMA | GDPR

標準への準拠

標準	用途	参照
PTES	一般的なペネトレーションテスト（7段階）	pentest-standard.org
OWASP WSTG	Webアプリケーションのテスト	owasp.org/wstg
NIST SP 800-115	政府機関／コンプライアンスのテスト	csrc.nist.gov
OSSTMM	メトリクスベースのセキュリティテスト	isecom.org

プラットフォーム早見表

プラットフォーム	セーフハーバー	開示	主な要件
HackerOne	ゴールドスタンダード（GSSH）	プログラムごとに異なる	人間が介在する検証
Bugcrowd	Disclose.ioフレームワーク	協調型／カスタム／なし	POCの安全な共有
Intigriti	異なる場合があります	協調型	GDPRへの準拠
YesWeHack	異なる場合があります	プログラムごとに異なる	プログラムの概要に従う

プラットフォームのドキュメント: HackerOne | Bugcrowd | Intigriti | YesWeHack

認定資格の参照

認定資格	対象分野	倫理要件
OSCP	実践的なエクスプロイト	法的な境界、文書化
CEH	理論＋実践	倫理規定の遵守が必須
GPEN	高度なペネトレーションテスト	法律／倫理に関するトレーニング
CREST/CHECK	英国政府の制度	身元調査、行動規範
PCI-DSS	カード会員データ環境	資格を有する評価者、文書化

参考資料

プラットフォーム: HackerOne Docs | Bugcrowd Docs | Disclose.io

標準: PTES | OWASP WSTG | NIST SP 800-115

法律: CFAA | CMA 1990

詳細な参考資料については、references/ディレクトリを参照してください。