Prędzej czy później ktoś spoza firmy znajdzie podatność w Twoim produkcie. Co będzie dalej, zależy od tego, czy znajdzie adres, na który można napisać, i czy ktoś odpowie. Jeśli nie ma kanału, zgłoszenie trafia do skrzynki działu wsparcia, do mediów społecznościowych albo donikąd.
Program ujawniania podatności to minimum: opublikowana polityka, która mówi, jak zgłaszać i czego zgłaszający może oczekiwać, skrzynka, którą ktoś czyta, i proces, który prowadzi zgłoszenie od otrzymania do poprawki. Nie wypłaca nagród i nie wymaga platformy. Unijny akt o cyberodporności (Cyber Resilience Act) nakłada na producentów produktów z elementami cyfrowymi obowiązek stosowania polityki skoordynowanego ujawniania podatności: zgłaszanie aktywnie wykorzystywanych podatności obowiązuje od 11 września 2026 r., pełen zakres obowiązków od 11 grudnia 2027 r.
Obsługa wewnętrzna według ISO/IEC 30111: odpowiedzialność, terminy, eskalacja
Komunikacja ze zgłaszającymi i skoordynowana publikacja
Biuletyny bezpieczeństwa i identyfikatory CVE dla podatności w Twoich produktach
Obowiązki zgłaszania wynikające z Cyber Resilience Act i NIS2, jeśli mają zastosowanie
02Podejście
Jak przebiega praca
01
Polityka
Politykę przygotowujemy razem z Twoim działem prawnym. Brzmienie klauzuli safe harbor opiera się na tekście uznawanym przez społeczność badaczy, a Twoi prawnicy dostosowują je do Twojej jurysdykcji.
02
Kanał
Konfigurujemy kanał zgłoszeń i plik security.txt i testujemy je z zewnątrz, tak jak znalazłby je badacz.
03
Proces
Role, terminy i ścieżkę eskalacji spisujemy i przećwiczamy na zgłoszeniu testowym przed publikacją polityki.
04
Obsługa
Jeśli chcesz, obsługujemy przyjmowanie zgłoszeń: potwierdzamy otrzymanie, odtwarzamy, oceniamy i przekazujemy potwierdzone zgłoszenia Twoim inżynierom.
Ktoś przysłał nam zgłoszenie podatności i żąda pieniędzy. Co robić?
Nie płać pod presją i nie groź. Potwierdź otrzymanie, poproś o szczegóły techniczne i zweryfikuj twierdzenia. Większość niezamówionych zgłoszeń pochodzi od badaczy działających w dobrej wierze, część to automatyczny szum, nieliczne to wymuszenia. Weryfikujemy zgłoszenie, oceniamy jego istotność i pomagamy Ci odpowiedzieć; wyślij zapytanie przez formularz na tej stronie i napisz w nim, że zgłoszenie czeka na odpowiedź.
Czym program ujawniania podatności różni się od bug bounty?
Program ujawniania podatności przyjmuje zgłoszenia i obiecuje uczciwe traktowanie. Bug bounty dodaje do tego zapłatę i tym samym zachęca do aktywnego szukania. Pierwszy to podstawa dla każdej firmy z produktem w internecie, drugi to decyzja o budżecie i gotowości.
Czy klauzula safe harbor naraża nas na ryzyko?
Zobowiązuje Cię do niepodejmowania kroków prawnych przeciwko osobom, które przestrzegają Twoich zasad. Nie upoważnia do niczego poza tymi zasadami i nie wiąże podmiotów trzecich ani prokuratorów. Przed publikacją tekst sprawdzają Twoi prawnicy.
Zaprojektowanie, uruchomienie i prowadzenie Twojego programu bug bounty: polityka, zakres, tabela nagród, triage (wstępna ocena zgłoszeń) i komunikacja z badaczami.