Programas de recompensa de bug

Um programa de recompensas por bugs é um acordo oferecido por muitos sites, organizações e desenvolvedores de software, no qual indivíduos podem receber reconhecimento e pagamento em dinheiro por relatarem bugs ou vulnerabilidades nos produtos oferecidos por um fornecedor. Os produtos podem ser hardware, software, serviços ou sites.

Programas de recompensa por bugs incentivam a divulgação responsável de bugs críticos ao fornecedor do software. Divulgação responsável significa que o fornecedor tem um prazo razoável para abordar e corrigir a vulnerabilidade ou bug antes que o pesquisador de segurança possa divulgar suas descobertas ao público. Na maioria dos casos, o fornecedor e a pesquisa de segurança trabalham em conjunto para validar se as correções realmente funcionam e, assim que um patch é lançado e os clientes do fornecedor estão devidamente protegidos, o pesquisador de segurança pode divulgar os detalhes de seu trabalho. 

Google, Facebook e Reddit são exemplos de organizações que usam programas de recompensa por bugs para ajudar a proteger seus softwares.

Programa de recompensa por bugs da CyberHoot

A CyberHoot fará uma doação em espécie do nosso treinamento de conscientização em segurança e do nosso produto de teste de phishing para uma instituição de caridade de sua escolha, para que você nos informe e nos informe de forma responsável sobre qualquer bug em nosso software, site ou outra insegurança, após a confirmação por nossa equipe. Para isso, basta enviar o relatório por e-mail para DPO@CyberHoot.com, conforme descrito na política de privacidade do nosso site.

O que isso significa para minha PME?

Se você é uma pequena ou média empresa que desenvolve software de qualquer tipo, então é altamente recomendável criar um programa de recompensas por bugs. Programas de recompensas por bugs, mesmo os mais modestos, têm se mostrado eficazes no incentivo à comunicação e divulgação responsáveis ​​de bugs críticos em softwares. No entanto, ao criar um programa, certifique-se de sistematizá-lo. Existem muitos desafios a serem superados em um programa de recompensas por bugs, conforme descrito neste artigo: 5 perguntas a serem respondidas antes de criar seu programa de recompensas por bugs.

Para a maioria das outras PMEs e MSPs não envolvidas no desenvolvimento de software, não será necessário se preocupar com um programa como esse. PMEs e MSPs precisam concentrar sua atenção no desenvolvimento de seus processos de tratamento de alertas de vulnerabilidades críticas. É de vital importância que você tenha um processo para avaliar rapidamente os riscos e tomar decisões importantes e urgentes sobre como reagir a vulnerabilidades críticas. Com um Processo de Gerenciamento de Alertas de Vulnerabilidade (VAMP) implementado, você pode ter um guia claro sobre quando e quão alto deve ser o processo para uma determinada vulnerabilidade ou exposição.

Para manter-se sempre atualizado, é importante implementar uma solução de gerenciamento de patches baseada em nuvem para atualizar automaticamente o software sempre que e onde for necessário. A maioria dos provedores de serviços gerenciados utiliza uma das três principais soluções de monitoramento e gerenciamento remoto (RMM) ( Connectwise , Datto e Kaseya) para aplicar patches em seus sistemas gerenciados. Essas soluções de RMM também oferecem monitoramento e acesso remoto, além de serviços de aplicação de patches testados e validados para seus clientes.

Soluções independentes de gerenciamento de patches para empresas que não utilizam as soluções RMM mencionadas acima incluem ManageEngine e Automox.

PROTEÇÕES PARA PMEs E MSP ALÉM DO GERENCIAMENTO DE PATCHES

Além de adotar um sistema de gerenciamento de patches, a CyberHoot recomenda as seguintes práticas recomendadas para proteger indivíduos e empresas contra ataques cibernéticos online e limitar os danos causados por eles:

• Adote um gerenciador de senhas para melhor higiene de senhas pessoais/de trabalho
• Exigir autenticação de dois fatores em qualquer Solução SaaS ou contas críticas
• Exija senhas com mais de 14 caracteres em seu Políticas de Governança
• Treinar funcionários para identificar e evitar mensagens baseadas em e-mail Phishing ataques
• Verifique se os funcionários pode identificar e evitar e-mails de phishing testando-os
• Dados de backup usando o Método 3-2-1
• Incorpore o Princípio do Menor Privilégio
• Realizar uma avaliação de risco a cada dois a três anos

Termos relacionados: Bug , Vulnerabilidade

Fonte: HackerOne