Польща запускає першу у світі повністю суверенну державну програму bug bounty та заохочує етичних хакерів шукати вразливості на сайтах державного управління. Про це в інтерв’ю Польському радіо для України розповів Кароль Бойке, експерт CERT Polska. Ініціатива реалізується Міністерством цифровізації та NASK на спеціально створеній національній платформі. За виявлену вразливість, залежно від її серйозності, можна отримати до 20 тисяч злотих, а загальний призовий фонд першого етапу програми становить близько мільйона злотих.
До участі запрошують усіх охочих із відповідними технічними навичками, які готові допомогти посилити кібербезпеку країни. Для реєстрації потрібні довірений профіль, номер PESEL і статус податкового резидента Польщі.
Державні установи, які вже перевірили власні системи та мають досвід внутрішнього аудиту, тепер відкривають їх для контрольованого тестування сторонніми дослідниками. Серед учасників першого етапу, зокрема, державний портал gov.pl, системи гміни Владиславово, державний месенджер mSzyfr. Експерт наголошує: програма не замінює регулярних заходів із захисту інформаційних систем, а доповнює їх. Водночас самостійні спроби злому поза офіційною програмою залишаються незаконними. Натомість зареєстровані учасники отримують можливість легально перевіряти безпеку визначених систем і повідомляти про знайдені проблеми, не наражаючись на ризик кримінальної відповідальності за такі дії.
Кароль Бойке нагадує, що «окрім поточної програми bug baunty, ми також щодня приймаємо повідомлення від окремих осіб. Якщо хтось хоче залишитися повністю анонімним, відмовитися від винагороди, але все одно добросовісно повідомити про виявлену вразливість, то ця опція все ще доступна.
Просто зв'яжіться з нами через форму повідомлення на incydent.cert.pl, і ми візьмемо на себе весь процес виявлення вразливостей поза програмою bug bounty».
Запрошую послухати програму в доданому звуковому файлі або в подкастах.
Сніжана Чернюк