社内バグバウンティ～報奨金が出るぞ☆彡～

こんにちは。フィールドエンジニアチームの堅田です。
今回は、今年10月から2nd Seasonがスタートした社内コミュニケーション活性化施策「スプロミッション」の第2グループ目が実施しました「社内バグバウンティ」についてお話しいたします。

バグバウンティとは？

まず、バグバウンティとは、企業などが自社のサービスや製品についてバグ調査案件を社外へ公開し、それを見たバグハンターにバグを調査・報告してもらう制度です。

報告の対価としてバグハンターにはその会社から報奨金が支払われます。
報告内容によっては報奨金が数百万円にもなることがあり、バグバウンティで生計を立てる人もいるとか。。。

企業としても脆弱性診断などでは見つからないようなバグが見つかる可能性があるため、多額の報奨金をかけてバグバウンティ制度を設けている会社もいるわけですね。

しかし、バグバウンティで生計を立てるとは・・・リアル賞金稼ぎですね。

バグバウンティ開催予告

当日までの準備や役回り

当日どのように進行するか、報奨金を渡す基準をどのように決定するか等をリスト化、大枠の方向性をグループメンバーでディスカッションして確定し、手を動かす部分を役割分担して進めました。

・全体の段取り、当日の進行について

当日はリモートでの開催とし、参加者をMAX4名程度のチームに分けて各チームごとにバグバウンティ用の社内環境（事前準備で作成）を狩り場にバグハンティングしてもらうルールにしました。

また、各人で黙々とハンティングされてしまうと本来のコミュニケーション活性化に沿わない催し物になるので、google meetのブレイクアウトセッション機能を使ってチームごとに会議ルームを分散し画面共有しながらSprocket管理画面・フロントエンド（Web接客）・バックエンドのバグを探して報告してもらうルールも策定して参加者を募ることにしました。

・報奨金を授与するための評価基準

最初はシンプルにチームごとの発見件数を集計して上位のチームへ報奨金を授与（たくさん見つけたことへの評価）と考えていましたが、ディスカッションを進める中で、内容的に素晴らしい発見をした個人への賞品も用意しようという話が出たので、個人賞として参加者の投票制にしてたくさん票が集まったバグの発見者上位2名に授与、加えて団体賞としてバグの発見件数上位3チームへ授与としました。

・バグかどうかのカウント基準について

こちらは、当時のグループ内での会話形式でご紹介させていただきます。

未里さん：どんな内容ならOK・NGなの？
長友さん：言いがかりっぽい内容はNGだよね
全員　　：言いがかりとは！？
未里さん：例えば、「設定の公開日時を入力する時、日付部分だけ【yyyymmdd】で成形されないけど時間部分は【hh:mm:ss】に成形される」これは？
全員　　：OK！
金田さん：個人の主観的なものですかね。文字のフォントが気に食わないとか。
全員　　：言いがかり！（笑）
長友さん：ここだけフォントが違うとかはOKとかね。
全員　　：確かに・・・

・チーム分け

「普段の業務でサービスを操作しまくっているカスタマーサクセスが最強」という意見のもと、参加希望者のうちカスタマーサクセスメンバーをベースに他のメンバーを割り振るという方針にしました。社内には時短勤務メンバーも多いため平日の日中開催（参加者は自己責任で業務調整していただく）にしたところ、13名のメンバーが参加表明してくれました。
ちなみに参加メンバーの所属内訳は以下の通りです。
　カスタマーサクセスチーム　：5名
　フィールドエンジニアチーム：5名
　プラットフォーム開発チーム：2名
　マーケティングチーム：1名
上記のメンバーを1チーム3～4名の4チームに組み分けしました。

開催に際しての実施ルールや実施環境など、当日までに決めておくこと作成しておくことが色々とありましたが、グループメンバーでワイワイ会話を楽しみながら事前準備を進められたのではと思います。何事も開催前の準備って盛り上がりますね。

いよいよ当日

ルールや報告基準・報告フォームへの記入方法など開催要領の説明や簡単なデモンストレーションを経て早速スタート！各チームに分かれて管理画面を見ながらバグハンティングしてもらいました！

開催当日（ルール説明）の様子

私が参加したチームではカスタマーサクセスの佐藤未里さんが日頃の業務から怪しいと睨んでいた箇所をバッサバッサ発見！まさにバグハンター！！マーケティングチーム古谷さんのデザイナー観点によるバグにも感嘆・・・と個人的に大盛り上がりでした。
また、当日はオフィスへ出社しており、出社メンバーでバグバウンティに参加していた他チームのメンバーが会話する様子を聞き耳をたてて聞いていましたが「あーそれはダメですねー（笑）」的な声が聞こえてきて他チームも和気あいあいとした雰囲気で行われていたようでした。

狩られたバグは合計55件

各チームの発見内容を発表して当日は終了となりました。
全体で55件のバグ＆使いにくい箇所が検出されました！

チームごとの報告件数
　チームA：16件
　チームB：12件
　チームC：19件
　チームD：8件

皆さんが発見した全てのバグをご紹介したいところではありますが、巻き物のようなブログになってしまうので、ダイジェストでご紹介します。

• 普段からサービスをさわりまくっているカスタマーサクセスチームのメンバーからは、さすがの件数が報告されていた印象です。また、カスタマーサクセスは平均5～6クライアントを担当していることもあり、複数サービスを操作する観点でのバグも多くあがっていたように見えました。

• サービスの新機能開発・既存機能改善のため日夜プログラムコードと格闘している開発チームからは、コンソールエラー等バックエンド観点のバグが報告されていました。

などなど、それぞれの所属チームならではな内容が報告されていました。また、コミュニケーション活性化の目的で所属チームを縦割りにしたチーム分けにしたのですが、各々の普段の業務ではふれる機会が少ないサービスの使い方や仕組みにふれる場にもなったように思います。

待望の報奨金授与

後日、参加メンバーからの投票結果のもと個人賞を決定、またチームごとのバグ発見件数から団体賞も決定して、報奨金であるAmazonギフト券を贈呈しました！個人賞はカスタマーサクセスメンバーのワンツーフィニッシュとなりました。やはりカスタマーサクセスは強かった！！

１位（個人賞）・・・佐藤未里さん（カスタマーサクセスチーム）：5票
　　　　　　　　　　＃さすがシナリオ事例集3姉妹！
２位（個人賞）・・・榎原直人さん（カスタマーサクセスチーム）：3票
　　　　　　　　　　＃さすがSprocketのシナリオ仙人！！
３位（団体賞）・・・Cチーム、Aチーム、Bチーム

報告されたバグはプロダクトチームへ提出

イベントで発見、報告された55件のバグはプロダクトチームへ提出し、今後プロダクトオーナーと課題・要望棚卸しの中で対応が調整されることとなります。

通常業務の中にも当然、課題・要望の報告フローはあるのですが、こういったイベント形式で報告する機会があると「こんなこと気にするのは自分だけかも・・・本当に報告をあげて良いのかな？」といった気持ちのハードルが下がりやすく、「使ってみないと気がつきにくいけど実は使い勝手に影響が出ているような内容」もライトに報告できるのでサービスの品質向上活動としても良い効果が生まれそう・・・と勝手に期待しています。

最後に

フルリモート勤務のメンバーが多いSprocketですが、オフィスに出社してのコミニュケーションはもちろんのこと、リモートであってもチーム内・外でコミニュケーションを積極的にとることで業務がより円滑に進められる活動に努めています。日本全国どちらにお住いの方であっても（国外在住の方も！？）、リモートの壁をさほど感じることなくお仕事できる環境かと思います。少しでも興味がわいた方は、ぜひ、お気軽にカジュアル面談へ応募してみてください！

[コーポレートサイト]
https://www.sprocket.bz/
[採用情報]
https://www.sprocket.bz/company/recruit/
[募集職種一覧]
https://note.com/sprocketrectruit/n/n0521aa81e1da
[技術ブログ]
https://medium.com/sprocket-inc