Startuje program bug bounty - uruchomiony na autorskiej platformie hack.cert.pl, stworzonej i obsługiwanej przez CERT Polska. Cały proces zgłaszania i obsługi podatności odbywa się w wewnętrznej infrastrukturze. Pula nagród to milion złotych.
Program CERT Polska wyznacza nowy kierunek współpracy administracji publicznej ze społecznością badaczy bezpieczeństwa. To jedno z pierwszych na świecie przedsięwzięć tego rodzaju, w którym obsługa programu bug bounty odbywa się na niezależnej, krajowej platformie, bez udziału komercyjnych pośredników. Dzięki temu cały proces – od zgłoszenia podatności po komunikację z właścicielem systemu – pozostaje w infrastrukturze zarządzanej przez organizatora.
Udział w programie to dla badaczy możliwość sprawdzenia swoich umiejętności w praktyce i realnego wpływu na bezpieczeństwo usług cyfrowych, z których korzystają obywatele. Za potwierdzone podatności badacze mogą otrzymać nagrodę w wysokości od kilkuset do nawet 20 tys. zł, w zależności od poziomu krytyczności wykrytego błędu.
Program został uruchomiony na autorskiej platformie hack.cert.pl, stworzonej i obsługiwanej przez CERT Polska. Cały proces zgłaszania i obsługi podatności odbywa się w wewnętrznej infrastrukturze. Dzięki temu informacje o wykrytych błędach nie opuszczają bezpiecznego środowiska zarządzanego przez zaufaną i bezstronną instytucję.
Każde zgłoszenie przechodzi wstępną analizę i ocenę ekspertów CERT Polska, a następnie jest przekazywane do właściciela danego systemu. Program opiera się na trójstronnej współpracy badaczy bezpieczeństwa, NASK oraz instytucji publicznych, których systemy zostały objęte testami. Komunikacja odbywa się za pośrednictwem platformy, co pozwala zachować transparentność procesu i sprawną wymianę informacji.
Pięć pierwszych programów i nagrody dla badaczy
Platforma udostępnia na start pięć programów obejmujących obejmujących portal GOV.PL, komunikator mSzyfr oraz serwisy Gminy Władysławowo, CERT Polska i NASK. Zakres ten uwzględnia różne rodzaje systemów – od dużych usług administracji centralnej, przez rozwiązania samorządowe, po narzędzia i serwisy związane z cyberbezpieczeństwem.
Na nagrody dla uczestników programu przeznaczono łącznie 1 mln zł. Wysokość poszczególnych nagród będzie uzależniona od poziomu krytyczności zgłoszonej i potwierdzonej podatności i może wynosić od kilkuset złotych do nawet 20 tys. zł. Program został zorganizowany w formule konkursowej. Oznacza to, że uczestnicy nie muszą samodzielnie rozliczać podatku dochodowego od otrzymanych nagród. W przyszłości platforma będzie wykorzystywać również elementy grywalizacji. Uczestnicy będą mogli zdobywać odznaki, budować pozycję w rankingach i rywalizować o miejsce wśród najbardziej aktywnych i skutecznych badaczy.
Uczestnikiem może zostać osoba, która ukończyła 18 lat, posiada numer PESEL i polską rezydencję podatkową oraz wskaże polski rachunek bankowy, na który będą wypłacane nagrody. Regulamin programu przewiduje również mechanizmy mające ograniczać ryzyko nadużyć oraz zapewniać wiarygodność zgłoszeń. W kolejnych etapach rozwoju platformy planowane jest rozszerzenie możliwości udziału na osoby w wieku od 16 do 18 lat, za zgodą opiekuna prawnego.
Bezpieczeństwo budowane we współpracy
Programy bug bounty pozwalają niezależnym badaczom legalnie testować wskazane systemy i zgłaszać wykryte podatności. Ich podstawą jest model odpowiedzialnego ujawniania podatności: badacz przekazuje informację o wykrytym błędzie za pośrednictwem wyznaczonego kanału, a potwierdzona podatność trafia do właściciela systemu w celu jej usunięcia. Takie podejście pozwala identyfikować i eliminować słabości, zanim zostaną wykorzystane przez cyberprzestępców.
Współpraca z niezależnymi badaczami jest sprawdzonym elementem praktyk największych organizacji technologicznych jak np. Google czy Microsoft. Polska również dysponuje liczną społecznością wysoko wykwalifikowanych ekspertów, których wiedza i doświadczenie mogą mieć realny wpływ na bezpieczeństwo usług cyfrowych. Stworzenie im możliwości odpowiedzialnego testowania systemów publicznych pozwala wykorzystać ten potencjał w praktyce.
Otwarcie systemów na niezależną weryfikację jest jednocześnie oznaką dojrzałości instytucji. Świadczy o rozumieniu, że bezpieczeństwo usług udostępnianych obywatelom wymaga szerokiego spojrzenia i gotowości do korzystania z wiedzy wykraczającej poza własne zespoły.
Program CERT Polska tworzy ramy takiej współpracy: zapewnia badaczom określone zasady działania, bezpieczny kanał komunikacji i możliwość uzyskania wynagrodzenia za potwierdzone podatności. Zdobyte doświadczenia posłużą do dalszego rozwijania inicjatywy i obejmowania nią kolejnych instytucji publicznych. Dla administracji oznacza to dodatkowe wsparcie w identyfikowaniu i eliminowaniu słabości systemów, a dla obywateli – większe bezpieczeństwo usług cyfrowych, z których korzystają na co dzień.
