証跡がなければ、報酬もありません。

成功報酬型のモデルには、成果についての共通の定義が必要です。たとえば、合意した権限境界が定められた条件下で守られていないことを具体的に示す証跡が、その一例になります。どの程度の影響、深刻度、再現性があれば十分とみなすかは、開始前に決定します。既知の所見や、すでに許容されているリスクについても、あわせて整理します。これにより、後から得られた証跡が合意した目標に該当するのか、それとも単なる追加の所見にすぎないのかを、双方が判断できるようになります。

固定金額は、この書面で定義した成果と合意した検証範囲に対するものです。この枠組みの中で必要な証跡が得られない場合、成功報酬型のペンテスト費用は発生しません。スコープ外の所見が、自動的に支払い義務を生じさせることはありません。追加の分析、是正、再テストは、それぞれ個別の明示的な合意がある場合にのみご依頼いただけます。このモデルが目指すのは明確な経済的基盤の構築であり、あらゆる技術的な指摘が成功を意味するという曖昧な期待ではありません。

開始前に、対象システム、許可された起点、テストアカウント、実施期間を確定します。第三者のシステムやプラットフォームに関する権利は、あらかじめ明確にしておく必要があります。同様に、担当窓口、報告経路、中断の条件についても合意します。証跡を示すインセンティブがあっても、これらのルールが変わることはありません。定義した目標を達成するためだけに、テストを無断で他のシステムに拡大したり、許可されていない手法で継続したりすることは認められません。

証跡は、評価に必要な範囲にとどめます。準備したテストデータセットで影響を示せる場合には、第三者の顧客データを使用する必要はありません。機密性の高い成果は、事前に取り決めた経路を通じて権限を持つ担当窓口と共有します。評価をめぐる意見の相違については、事前に共通の確認手順を合意します。これにより、最後になって所見の意味づけについて認識の違いをすり合わせるのではなく、基準と文書に基づいて成果の判断を行うことができます。

Result as a Serviceは、明確に範囲を定めて証明できる目標に適しています。これには、SaaS、API、レガシーソフトウェア、顧客管理下のインフラにおける定義された課題が含まれることがあります。AIアプリケーションでは、出力の変動と関与するコンポーネントの多さから、特に精密な証跡基準が必要になります。そのため、このモデルが貴社のプロジェクトに適しているかどうかは、お引き受けする前に確認します。全般的な現状棚卸し、監査の完全な網羅、単一の成功報酬型検証目標は、それぞれ異なるサービスです。

合意した証跡が得られなかったテストは、システムに脆弱性が全くないことを意味するものではありません。この結論は、スコープ、検証時点、実施期間の範囲に限られます。証跡が得られた場合であっても、それは是正のための出発点にすぎません。技術文書は、貴社のチームが原因と影響を理解し、修正を計画できるようにするためのものです。その後の再テストでは、新しい状態で具体的な脆弱性が是正されたかを的確に確認できます。その範囲は別途定めます。