Programas de recompensa de bug

A Programa de Recompensa Bug é um acordo oferecido por muitos sites, organizações e desenvolvedores de software, no qual indivíduos podem receber reconhecimento e pagamento em dinheiro por relatar bugs ou vulnerabilidades nos produtos de um fornecedor. Os produtos podem ser hardware, software, serviços ou website.

Programas de recompensa por bugs incentivam a divulgação responsável de bugs críticos ao fornecedor do software. Divulgação responsável significa que o fornecedor tem um prazo razoável para abordar e corrigir a vulnerabilidade ou bug antes que o pesquisador de segurança possa divulgar suas descobertas ao público. Na maioria dos casos, o fornecedor e a pesquisa de segurança trabalham em conjunto para validar se as correções realmente funcionam e, assim que um patch é lançado e os clientes do fornecedor estão devidamente protegidos, o pesquisador de segurança pode divulgar os detalhes de seu trabalho. 

Google, Facebook e Reddit são exemplos de organizações que usam programas de recompensa por bugs para ajudar a proteger seus softwares.

Programa de recompensa por bugs da CyberHoot

A CyberHoot fará uma doação em espécie do nosso treinamento de conscientização em segurança e do nosso produto de teste de phishing para uma instituição de caridade de sua escolha, para que você nos informe e nos informe de forma responsável sobre qualquer bug em nosso software, site ou outra insegurança, após a confirmação por nossa equipe. Para isso, basta enviar o relatório por e-mail para DPO@CyberHoot.com, conforme descrito na política de privacidade do nosso site.

O que isso significa para minha PME?

Se você é uma PME que desenvolve software de qualquer tipo, é fundamental criar um programa de recompensa por bugs. Programas modestos de recompensa por bugs comprovadamente incentivam a comunicação responsável e a divulgação de bugs críticos em software. No entanto, se você estiver desenvolvendo um programa, certifique-se de sistematizá-lo. Há muitos desafios que você deve enfrentar em seu programa de recompensa por bugs, conforme descrito neste artigo: 5 perguntas a serem respondidas antes de criar seu programa de recompensa por bugs.

Para a maioria das outras PMEs e MSPs não envolvidas no desenvolvimento de software, não será necessário se preocupar com um programa como esse. PMEs e MSPs precisam concentrar sua atenção no desenvolvimento de seus processos de tratamento de alertas de vulnerabilidades críticas. É de vital importância que você tenha um processo para avaliar rapidamente os riscos e tomar decisões importantes e urgentes sobre como reagir a vulnerabilidades críticas. Com um Processo de Gerenciamento de Alertas de Vulnerabilidade (VAMP) implementado, você pode ter um guia claro sobre quando e quão alto deve ser o processo para uma determinada vulnerabilidade ou exposição.

Para se manter sempre atualizado, é importante implantar uma solução de gerenciamento de patches baseada em nuvem para atualizar o software automaticamente quando e onde for necessário. A maioria dos Provedores de Serviços Gerenciados utiliza um dos três principais Monitoramento e gerenciamento remoto Soluções (RMM) (Connectwise, Datto e Kaseya) para aplicar patches em seus sistemas gerenciados. Essas soluções de RMM também oferecem monitoramento e acesso remoto, além de serviços de aplicação de patches testados e validados para seus clientes.

Soluções autônomas de gerenciamento de patches para empresas que não usam as soluções RMM mencionadas acima incluem ManageEngine e Automox.

PROTEÇÕES PARA PMEs E MSP ALÉM DO GERENCIAMENTO DE PATCHES

Além de adotar um sistema de gerenciamento de patches, a CyberHoot recomenda as seguintes práticas recomendadas para proteger indivíduos e empresas contra ataques cibernéticos online e limitar os danos causados por eles:

• Adote um gerenciador de senhas para melhor higiene de senhas pessoais/de trabalho
• Exigir autenticação de dois fatores em qualquer Solução SaaS ou contas críticas
• Exija senhas com mais de 14 caracteres em seu Políticas de Governança
• Treinar funcionários para identificar e evitar mensagens baseadas em e-mail Phishing ataques
• Verifique se os funcionários pode identificar e evitar e-mails de phishing testando-os
• Dados de backup usando o Método 3-2-1
• Incorpore o Princípio do Menor Privilégio
• Realizar uma avaliação de risco a cada dois a três anos

Termos relacionados: Bug, Vulnerabilidade

Fonte: HackerOne