研究倫理準則

版本 1.0 ｜ 生效日 2026-08-21 ｜ 適用對象 全體成員、合作研究員、外部顧問、實習研究人員

---

1. 目的

Odysec 的研究橫跨網路與實體兩個領域，兩者都可能接觸到真實的人與真實的風險。本準則規定我們在研究過程中可以做什麼、不可以做什麼，以及在判斷困難時依循的原則。

本準則對外公開，任何人都可以據此檢驗我們的行為。凡與本準則牴觸的委託、合作或研究方向，一律不予執行，不論報酬。

2. 核心原則

研究判斷遇到模糊地帶時，依下列順序權衡：

1. 不造成傷害優先於研究價值：若某項研究的執行過程本身會使人陷於風險，則不執行，無論結論多有價值。
2. 知情同意是涉及真人研究的前提：沒有明確、可撤回的同意，就沒有研究。
3. 最小必要：蒐集、保存、揭露的資訊以達成研究目的所必需者為限，期限屆至即銷毀。
4. 可歸責：研究成果以團隊或個人名義署名發表，錯誤公開更正，不匿名推卸。
5. 公共利益優先於商業利益：贊助或委託關係不得影響研究結論。

3. 網路層研究規範

3.1 測試邊界

• 概念驗證（PoC）僅在自有隔離環境或已取得書面授權的目標上執行。
• 不對未經授權的系統進行掃描、探測、登入嘗試或任何形式的主動測試。台灣《刑法》第 358–360 條（妨害電腦使用罪）不因研究目的而免責。
• 「該系統看起來沒人管理」「只是輕微掃描」「我沒有造成損害」皆非執行未授權測試的理由。

3.2 惡意程式與樣本處理

• 樣本一律於離線隔離環境分析，不得於日常作業裝置執行，不掛載共享目錄。
• 不散布可直接武器化的攻擊程式碼。技術文章中的 PoC 以能說明原理為度，必要時保留關鍵細節。
• 樣本不轉交未具處理能力或無正當研究目的之第三方。

3.3 外洩資料的處理

• 不主動下載、蒐集、購買外洩資料集。
• 因研究必要接觸外洩資料時，僅檢視驗證所需的最小範圍，不留存個人識別資訊，驗證完成即銷毀。
• 不以外洩資料進行針對特定個人的查詢或串接。
• 發現重大外洩時，優先通知受影響機構與主管機關，而非搶先公開。

4. 實體與人身安全研究規範

實體領域的研究對象往往是真實的人，規範較網路層更嚴格。

4.1 知情同意（不可退讓）

任何涉及真人的研究——包含追蹤器偵測測試、跟蹤騷擾軟體驗證、個人曝險評估、社交工程演練——皆須具備：

• 書面同意，載明研究目的、方法、資料用途、保存期限與風險說明；
• 可隨時撤回的權利，撤回後既有資料應依受測者意願銷毀；
• 受測者為自願者或研究人員本人；
• 未成年人或有其他保護需求者，須另經法定代理人同意並提高保護標準。

4.2 絕對禁止

• 未經當事人同意的定位、跟蹤、監看、錄音錄影、通訊攔截。
• 對特定個人進行未受其本人委託的行蹤或行為蒐證。
• 以研究為名，協助他人監控其配偶、伴侶、子女、員工或任何第三人。

相關法律：《刑法》第 315-1 條（妨害秘密罪）、《跟蹤騷擾防制法》、《個人資料保護法》。研究目的不構成上述法律的阻卻事由。

4.3 實體安全測試（受託執行時）

若受託執行門禁、實體侵入或社交工程測試：

• 須有客戶簽署的書面授權書，載明範圍、時間窗、允許手法、明確禁止事項、緊急中止條件與現場聯絡人；
• 執行人員隨身攜帶授權書正本，遭保全或執法人員盤查時立即出示並停止測試；
• 事前建立客戶內部聯絡人的即時聯繫管道，必要時預先知會當地警政單位；
• 不使用可能造成人身危險的手法；遇有第三人在場且可能受驚擾時，中止該項測試。

5. 弱勢與高風險研究對象

當研究涉及家暴被害者、跟蹤騷擾被害者、記者、人權工作者或其他高風險個人時，額外適用：

• 身分保護為第一優先，報告中不得出現可回溯識別的細節（含間接識別的組合資訊）；
• 資料保存採最小期限，加密保存，存取權限限於必要人員；
• 不以個案作為行銷素材，即使已去識別化；
• 我們是技術研究者，不是社工、律師或執法人員。遇有人身安全立即危險、需要保護令或刑事告訴的情形，協助當事人轉介至警政、社政或法律專業，不代為處理。

6. 獨立性與利益衝突

• 不接受任何以影響研究結論為條件的報酬或贊助。
• 研究若由外部資助，於發表時揭露資助來源。
• 成員如與研究標的存在財務或個人利害關係，應主動迴避或於報告中揭露。
• 不接受要求「不得公開負面發現」的委託條件。

7. 保密與公開的分界

Odysec 採雙軌制：

• 公開研究：自主研究成果全數公開發表並署名，接受外界檢驗。
• 保密委託：客戶委託案件之內容、身分與發現絕對保密，非經客戶書面同意不揭露。委託案中若發現可推廣的共通性問題，以完全去識別化、經客戶確認的形式另行發表。

保密義務於委託關係結束後持續有效。保密不得用於掩護違反本準則的行為。

8. 違反處理

• 任何成員發現違反本準則之情事，應立即向團隊負責人反映；無法內部處理者，得向外部倫理顧問申訴。
• 違反情節重大者，終止其研究參與資格；涉及違法者，依法處理並配合調查。
• 外界如認為 Odysec 的研究行為違反本準則，可透過 ethics@odysec.org 提出，我們承諾於 14 個工作日內回覆。

9. 修訂

本準則每年檢視一次，或於重大事件後即時修訂。修訂紀錄公開保存，舊版本不刪除。