Ett bug bounty-program är ett offentligt löfte: rapportera en sårbarhet enligt de här reglerna så blir du rättvist behandlad och får betalt. Program misslyckas när löftet ges innan organisationen kan hålla det. Rapporter blir liggande obesvarade, dubbletter och utdata från skannrar begraver de giltiga fynden, och säkerhetsforskarna går vidare till program som svarar.
Vi känner program från säkerhetsforskarens sida, eftersom vi själva letar sårbarheter i dem. Vi förbereder ditt program så att det lockar de personer du vill ha: en omfattning som är värd deras tid, regler som skyddar dem, belöningar som motsvarar påverkan och svar som kommer när de har utlovats.
01Omfattning
Vad vi testar
Bedömning av beredskap: kan de kända problemen åtgärdas innan säkerhetsforskarna hittar dem
Programmets policy: regler för testning, undantag, villkor för offentliggörande, safe harbour
Fastställande av omfattningen och stegvis utvidgning från privat till offentligt program
Belöningstabell kopplad till allvarlighetsgrad och till tillgångens värde
Val av plattform, eller ett program i egen regi där en plattform inte är önskad
Triagering: återskapande, deduplicering, bedömning av allvarlighetsgrad, filtrering av automatiserade rapporter
Kommunikation med säkerhetsforskare, även vid tvister om allvarlighetsgrad och belöning
Överlämning till utvecklingen: ärenden med steg för att återskapa och vägledning för åtgärd
Mätvärden: svarstid, tid till åtgärd, utgifter för belöningar, kvaliteten på inskickade rapporter
02Arbetssätt
Så utförs arbetet
01
Beredskap
Innan något tillkännages testar vi omfattningen själva. Problem som vilken säkerhetsforskare som helst skulle hitta den första veckan åtgärdas först, så att belöningar betalas ut för det som är svårt att hitta.
02
Utformning
Policy, omfattning och belöningstabell tas fram tillsammans med dina team för säkerhet, juridik och ekonomi. Texten om safe harbour följer den formulering som säkerhetsforskarna känner igen.
03
Privat lansering
Programmet öppnas för en begränsad grupp inbjudna säkerhetsforskare. Processerna justeras medan mängden rapporter är hanterbar.
04
Drift
Vi triagerar varje rapport, återskapar den, bedömer den och skickar bekräftade fynd vidare till dina utvecklare. Säkerhetsforskarna får svar inom den tid som anges i policyn.
05
Utvidgning
Omfattning och publik växer när siffrorna visar att organisationen hänger med: svarstiderna hålls, åtgärderna levereras, budgeten är under kontroll.
Poäng och vektor för allvarlighetsgraden hos varje fynd.
FIRST
06Frågor
Frågor om den här tjänsten
Vilken plattform ska vi använda?
Det beror på var dina säkerhetsforskare finns, vilka jurisdiktioner och betalningsvägar du behöver och hur stor del av driften du vill att plattformen ska sköta. Ett av alternativen är vår egen plattform. Vi jämför den med de andra utifrån samma krav, säger det rakt ut och tar ingen provision från någon annan plattform.
Letar ni själva sårbarheter i de program som ni förvaltar?
Nej. Att förvalta ett program och tjäna belöningar från det är en intressekonflikt. Våra specialister skickar inte rapporter till program som vi driver eller har förberett.
Är vi redo för ett offentligt program?
Om du inte har gjort ett penetrationstest, nej. Börja med ett test och ett privat program. En offentlig lansering på en otestad omfattning betalar höga belöningar för fynd som en granskning till fast pris hade levererat.
Hur hanterar ni rapporter som har genererats av AI-verktyg?
Varje rapport återskapas innan den accepteras. En rapport som inte går att återskapa stängs med en förklaring, oavsett vem eller vad som skrev den. Policyn säger det, vilket redan från början avskräcker från sådana rapporter.
En offentlig kanal och en fungerande process för sårbarhetsrapporter utifrån: policy, security.txt, mottagning, triagering och samordnad sårbarhetsrapportering.