Tysiące złotych za lukę w serwisie publicznym. NASK udostępnia platformę Bug Bounty

Jesteś z branży mediów, marketingu i PR? Obserwuj nas na LinkedIn.

Osoby, które zidentyfikowały lukę w danym systemie, mogą przekazać informację o niej za pomocą platformy hack.cert.pl. Udział w programie przeznaczony jest dla osób pełnoletnich, które mają numer PESEL, polską rezydencję podatkową oraz wskażą polski rachunek bankowy do wypłaty nagrody.

Na początek platforma obejmie portal gov.pl, systemy NASK, CERT Polska i Gminy Władysławowo oraz komunikator mSzyfr.

Za pojedyncze zgłoszenie, które zostanie pozytywnie zweryfikowane, można otrzymać nawet 20 tys. zł. Pula nagród wynosi milion zł.

Jak tłumaczą specjaliści, idea platformy typu Bug Bounty jest prosta: instytucja zaprasza badaczy do testowania wskazanych systemów na określonych zasadach, a za wykryte i potwierdzone podatności wypłaca nagrody. Tym samym zyskuje sposób, aby usunąć słabe punkty, zanim wykorzystają je cyberprzestępcy.

Rozwiązanie to jest praktykowane od dawna przez sektor prywatny, ale do sektora publicznego dopiero wchodzi. Przyczyna jest prosta: znaczący wzrost podatności na ataki hakerów. Jak twierdzą specjaliści NASK, pytanie nie brzmi już "czy ktoś spróbuje zaatakować system", ale "kiedy to nastąpi".

– W ciągu trzech lat liczba podatności obsłużonych przez CERT Polska wzrosła o ponad 300 procent. Powiedzieć, że to duży wzrost, to nic nie powiedzieć. To pokazuje skalę wyzwań, z którymi mierzymy się każdego dnia. Przeznaczamy na cyberbezpieczeństwo rekordowe środki, ale w obliczu rosnących zagrożeń to wciąż za mało. Dlatego uruchamiamy kolejne rozwiązania, które pozwolą nam skuteczniej chronić państwowe systemy i wyprzedzać cyberprzestępców – stwierdził Krzysztof Gawkowski, wicepremier i minister cyfryzacji.

– Nie ma systemów, które są w 100 proc. bezpieczne. Każdy system ma podatności. Zapraszamy etycznych hakerów, żeby pomogli nam je znaleźć także w systemach rządowych. Ważne jest także to, że podmioty, które są na tej liście, są w stanie nie tylko dostać informacje o podatnościach, ale także skutecznie i sprawnie usuwać luki. Bo sama wiedza o podatności, jeśli nie łatamy jej szybko, jeszcze nie zwiększa naszego bezpieczeństwa – podkreślał z kolei Radosław Nielek, dyrektor NASK.

NASK podkreśla, że tym, co wyróżnia polski program, jest własna platforma. Jak czytamy w informacji prasowej, jej obsługa nie trafia do zewnętrznych serwisów. Dzięki temu informacje o podatnościach pozostają w zamkniętym obiegu, pod kontrolą zespołów odpowiedzialnych za ich weryfikację i usunięcie. Zewnętrzne firmy nie mają do nich dostępu. To dodatkowa ochrona wiedzy o słabych punktach systemów publicznych.