Programas de recompensas por errores

Un programa de recompensas por detección de errores (Bug Bounty Program) es una iniciativa ofrecida por muchos sitios web, organizaciones y desarrolladores de software, donde las personas pueden recibir reconocimiento y una compensación económica por reportar errores o vulnerabilidades en los productos de un proveedor. Estos productos pueden ser hardware, software, servicios o sitios web.

Los programas de recompensas por errores (Bug Bounty) fomentan la divulgación responsable de errores críticos al proveedor de software. La divulgación responsable implica que el proveedor dispone de un plazo razonable para abordar y corregir la vulnerabilidad o el error antes de que el investigador de seguridad pueda publicar sus hallazgos. En la mayoría de los casos, el proveedor y el investigador de seguridad trabajan en conjunto para validar la eficacia de las correcciones, y una vez publicado el parche y protegidos los clientes del proveedor, el investigador de seguridad puede publicar los detalles de su trabajo. 

Google, Facebook y Reddit son ejemplos de organizaciones que utilizan programas de recompensas por errores para ayudar a proteger su software.

Programa de recompensas por errores de CyberHoot

CyberHoot donará en especie nuestro producto de capacitación en seguridad y pruebas de phishing a la organización benéfica que usted elija para que nos informe de forma responsable sobre cualquier error en nuestro software, sitio web u otra inseguridad, una vez confirmado por nuestro equipo. Para ello, simplemente envíe el informe por correo electrónico a DPO@CyberHoot.com, tal como se describe en la política de privacidad de nuestro sitio web.

¿Qué significa esto para mi PYME?

Si eres una PYME dedicada al desarrollo de software, te conviene crear un programa de recompensas por errores. Se ha demostrado que los programas de recompensas por errores, incluso los más modestos, fomentan la notificación y divulgación responsable de errores críticos en el software. Sin embargo, si estás creando un programa, asegúrate de sistematizarlo. Existen muchos desafíos que debes afrontar en tu programa de recompensas por errores, como se describe en este artículo: 5 preguntas que debes responder antes de crear tu programa de recompensas por errores.

Para la mayoría de las PYMES y MSP que no se dedican al desarrollo de software, no será necesario recurrir a un programa de este tipo. Las PYMES y MSP deben centrarse en desarrollar su proceso para gestionar alertas de vulnerabilidades críticas. Es fundamental contar con un proceso para evaluar rápidamente los riesgos y tomar decisiones importantes y urgentes sobre cómo reaccionar ante vulnerabilidades críticas. Con un Proceso de Gestión de Alertas de Vulnerabilidad (VAMP), se puede tener una guía clara sobre cuándo y a qué nivel actuar ante una vulnerabilidad o exposición determinada.

Para mantener el software siempre actualizado, es fundamental implementar una solución de gestión de parches en la nube que lo actualice automáticamente cuando y donde sea necesario. La mayoría de los proveedores de servicios gestionados utilizan una de las tres principales soluciones de monitorización y gestión remota (RMM) ( Connectwise , Datto y Kaseya) para aplicar parches a sus sistemas gestionados. Estas soluciones RMM también ofrecen monitorización y acceso remoto, además de servicios de aplicación de parches probados y validados para sus clientes.

Entre las soluciones de gestión de parches independientes para empresas que no utilizan las soluciones RMM mencionadas anteriormente se incluyen ManageEngine y Automox.

PROTECCIÓN PARA PYMES Y MSP MÁS ALLÁ DE LA GESTIÓN DE PARCHES

Además de adoptar un sistema de gestión de parches, CyberHoot recomienda las siguientes prácticas recomendadas para proteger a las personas y a las empresas contra los ataques cibernéticos en línea y limitar los daños que estos causan:

• Adopta un administrador de contraseñas para una mejor higiene de contraseñas personales y laborales
• Exigir autenticación de dos factores en cualquier Solución SaaS o cuentas críticas
• Se requieren contraseñas de más de 14 caracteres en su Políticas de gobernanza
• Capacitar a los empleados Para detectar y evitar el correo electrónico phishing, ataques
• Verificar que los empleados Puede detectar y evitar correos electrónicos de phishing probándolos
• Realice una copia de seguridad de los datos mediante el Método 3-2-1
• Incorporar el Principio de menor privilegio
• Lleve a cabo una evaluación de riesgos cada dos o tres años

Términos relacionados: Error , Vulnerabilidad

Fuente: HackerOne