Минцифры предлагает единые госцены на поиск уязвимостей
Изображение: Shutterstock / Butus
Такая программа позволяет привлечь специалистов для защиты ключевых государственных ресурсов, таких как портал «Госуслуги» и другие системы электронного правительства. Суть программы — обеспечение безопасности данных, повышение устойчивости кибератак и поддержка «белых хакеров» как легальных участников кибербезопасности.
Начиная с 2023 года «белые хакеры» получали за уязвимости следующие выплаты:
- Низкие риски — до 30 тыс. рублей;
- Средние риски — до 100 тыс. рублей;
- Высокие риски — до 300 тыс. рублей;
- Критические уязвимости — до 1 млн рублей.
Первые два этапа программы, проходившие с февраля по май 2023 года, показали успешные результаты: на портале «Госуслуги» и в других госсистемах было выявлено 37 уязвимостей, за устранение которых Минцифры выплатило 1,95 млн рублей. С учетом этого успешного опыта было решено расширить программу на все системы электронного правительства и продлить её до конца 2024 года. Участвовать в программе могут как индивидуальные специалисты, так и компании, что предоставляет возможность работы с госсектором на выгодных условиях.
Предполагается, что фиксированные тарифы помогут сделать рынок более прозрачным и привлечь профессиональных программистов. Однако для полноценного интереса со стороны хакеров и компаний в области кибербезопасности тарифы должны быть конкурентоспособными с рыночными, где вознаграждения за высокорисковые уязвимости могут достигать 4 млн рублей.
Для хакеров программа Bug Bounty становится важным каналом легальных доходов с возможностью профессионального развития, а для государства — это способ повысить безопасность IT-инфраструктуры.
Реализация недопустимых событий может принести компании серьезные финансовые и репутационные убытки и даже привести к уничтожению организации. Ни для кого не секрет, что причина ущерба — деятельность «черных» хакеров, которые только и ждут нужного момента. IT-World выяснял, способны ли программы Bug Bounty снизить число злоумышленников? Или полигоны для охотников за ошибками — это что угодно, но не способ борьбы с киберпреступностью?