研究倫理綱領

バージョン 1.0 ｜ 発効日 2026-08-21 ｜ 適用対象 全メンバー、共同研究者、外部アドバイザー、研究インターン

本書は参考訳です。中国語版を正式版とします。

---

1. 目的

Odysec の研究はサイバーとフィジカルの両領域にまたがり、いずれも実在の人物と現実のリスクに関わり得ます。本綱領は、研究の過程で行ってよいこと・行ってはならないこと、および判断に迷う際に従う原則を定めます。

本綱領は公開されており、誰でもこれに照らして私たちの行動を検証できます。本綱領に反する依頼・協業・研究方針は、報酬の多寡にかかわらず一切実行しません。

2. 基本原則

判断が曖昧な場合、次の順序で比較衡量します。

1. 危害の回避は研究価値に優先する。 研究の実施自体が人を危険に晒すなら、成果がどれほど有益でも実施しない。
2. 実在の人物が関わる研究は、インフォームド・コンセントが前提。 明示的かつ撤回可能な同意なくして研究なし。
3. 必要最小限。 収集・保存・開示は研究目的に必要な範囲に限り、期限が到来したら破棄する。
4. 説明責任。 研究成果はチームまたは個人の署名で公表し、誤りは公開で訂正する。
5. 公益は商業的利益に優先する。 スポンサーや依頼関係が研究の結論に影響してはならない。

3. サイバー領域の研究規範

3.1 テストの境界

• 概念実証(PoC)は自前の隔離環境、または書面による許可を得た対象に限って実行する。
• 許可のないシステムに対するスキャン・探査・ログイン試行その他の能動的テストは行わない。台湾刑法第 358〜360 条(電脳使用妨害罪)に研究目的の免責はない。
• 「管理されていないように見える」「軽いスキャンだけ」「損害は与えていない」は、無許可テストの理由にならない。

3.2 マルウェアと検体の取り扱い

• 検体の解析はオフラインの隔離環境に限る。日常業務端末では実行せず、共有フォルダもマウントしない。
• 直接兵器化可能な攻撃コードは配布しない。技術記事の PoC は原理の説明に必要な範囲に留め、必要に応じて核心的詳細を伏せる。
• 取り扱い能力や正当な研究目的を欠く第三者に検体を渡さない。

3.3 流出データの取り扱い

• 流出データセットを能動的にダウンロード・収集・購入しない。
• 研究上やむを得ず接触する場合も、検証に必要な最小限のみを確認し、個人識別情報は保存せず、検証終了後直ちに破棄する。
• 流出データを用いて特定個人を照会・突合しない。
• 重大な流出を発見した場合は、公表より先に影響を受ける組織と所管当局へ通知する。

4. フィジカル・身体安全領域の研究規範

この領域の研究対象は実在の人物であることが多く、サイバー領域より厳格な規範を適用します。

4.1 インフォームド・コンセント(譲歩不可)

実在の人物が関わるあらゆる研究——トラッカー検出テスト、ストーカーウェア検証、個人露出評価、ソーシャルエンジニアリング演習——には以下を必須とします。

• 目的・方法・データ用途・保存期間・リスクを明記した書面同意;
• いつでも撤回できる権利。撤回後は本人の意向に従い既存データを破棄;
• 被験者は志願者または研究者本人;
• 未成年者等には法定代理人の同意と、より高い保護基準。

4.2 絶対的禁止事項

• 本人の同意のない位置特定・追跡・監視・録音録画・通信傍受。
• 本人からの依頼なく特定個人の行動・動静の証拠を収集すること。
• 研究の名目で、配偶者・パートナー・子・従業員その他第三者の監視に加担すること。

関連法令:刑法第 315-1 条(秘密妨害罪)、ストーカー行為等防止法(跟蹤騷擾防制法)、個人資料保護法。研究目的はこれらの違法性を阻却しない。

4.3 物理セキュリティテスト(受託時)

入退室管理・物理侵入・ソーシャルエンジニアリングのテストを受託する場合:

• 範囲・時間帯・許可手法・明示的禁止事項・緊急中止条件・現場連絡先を記載した、顧客署名済みの授権書を必須とする;
• 実施者は授権書の原本を携行し、警備員や警察に誰何されたら直ちに提示してテストを中止する;
• 顧客側窓口との即時連絡手段を事前に確立し、必要に応じ所轄警察へ事前連絡する;
• 人身に危険を及ぼし得る手法は用いない。第三者を驚かせるおそれがある場合、当該テストを中止する。

5. 脆弱な立場・高リスクの研究対象

DV 被害者、ストーカー被害者、ジャーナリスト、人権活動家などが関わる研究には、さらに以下を適用します。

• 身元保護を最優先とし、報告書には再識別可能な細部(間接識別子の組み合わせを含む)を記載しない;
• データは最短期間・暗号化で保存し、アクセスは必要最小限の人員に限る;
• 事例をマーケティングに使用しない(匿名化済みでも);
• 私たちは技術研究者であり、ソーシャルワーカー・弁護士・警察ではない。急迫の危険や保護命令・刑事告訴が必要な場合は、警察・福祉・法律の専門機関へつなぎ、代行はしない。

6. 独立性と利益相反

• 研究の結論への影響を条件とする報酬・スポンサーシップは受けない。
• 外部資金による研究は、公表時に資金源を開示する。
• 研究対象と金銭的・個人的利害関係を持つメンバーは、回避するか報告書で開示する。
• 「否定的な発見を公表しない」ことを条件とする依頼は受けない。

7. 秘密保持と公開の境界

Odysec は二本立てで運営します。

• 公開研究:自主研究の成果はすべて署名付きで公開し、外部の検証に開く。
• 秘密依頼:依頼案件の内容・依頼者・発見事項は厳格に秘匿し、書面同意なく開示しない。案件で見つかった一般化可能な問題は、完全に匿名化し顧客の確認を経て別途公表することがある。

秘密保持義務は依頼終了後も存続します。ただし本綱領違反の隠蔽には使えません。

8. 違反への対応

• 違反を発見したメンバーは直ちにチーム責任者へ報告する。内部で解決できない場合は外部倫理アドバイザーへ申し立てる。
• 重大な違反者は研究参加資格を失う。違法行為は法に従って処理し、調査に協力する。
• Odysec の行動が本綱領に反すると考える方は ethics@odysec.org までご連絡ください。14 営業日以内に回答します。

9. 改訂

本綱領は年 1 回、または重大事案の後に直ちに見直します。改訂履歴は公開し、旧版は削除しません。