Inicjatywa ta łączy powagę instytucjonalnego nadzoru z angażującym modelem współpracy ze społecznością IT. Wyjaśniamy, na czym polega program, kim są tzw. „biali hakerzy” i dlaczego państwo decyduje się płacić za próby przełamania własnych zabezpieczeń.
Pięć obszarów pod lupą. Gdzie szukać słabych punktów?
W ramach programu udostępnionego na platformie hack.cert.pl specjaliści bezpieczeństwa oraz pasjonaci technologii otrzymali legalną możliwość weryfikacji pięciu wyznaczonych zasobów:
- Portal GOV.PL – główny serwis informacyjny i usługowy polskiej administracji rządowej,
- Systemy informatyczne NASK – infrastruktura kluczowej jednostki dbającej o bezpieczeństwo państwowej sieci,
- Serwisy zespołu CERT Polska – strony instytucji odpowiedzialnej za reagowanie na incydenty cyfrowe,
- Komunikator mSzyfr – bezpieczne narzędzie przeznaczone do wymiany informacji,
- Serwisy Urzędu Gminy Władysławowo – samorządowy akcent włączony do etapu pilotażowego.
Wysokość gratyfikacji finansowej zależy od stopnia skomplikowania wykrytej usterki oraz poziomu stwarzanego przez nią ryzyka. Stawki za jedno potwierdzone i unikalne zgłoszenie wahają się od kilkuset złotych do maksymalnie 20 tysięcy złotych.
Cyberbezpieczeństwo Gdańska i nie tylko
Warunki uczestnictwa i bezpieczne procedury
Procedura zgłoszeniowa opiera się na standardzie odpowiedzialnego ujawniania podatności (ang. responsible disclosure). Wszystkie informacje o błędach trafiają bezpośrednio do analityków CERT Polska za pośrednictwem bezpiecznej infrastruktury, co zapobiega wyciekowi danych do czasu usunięcia zagrożenia.
Do udziału w programie kwalifikują się osoby fizyczne, które ukończyły 18 lat, posiadają numer PESEL, polską rezydencję podatkową oraz rachunek bankowy w Polsce. Weryfikacja tożsamości uczestników odbywa się poprzez węzeł krajowy (login.gov.pl). W kolejnych etapach rozwoju platformy planowane jest rozszerzenie możliwości udziału na osoby w wieku od 16 do 18 lat, za zgodą opiekuna prawnego.
– Program CERT Polska wyznacza nowy kierunek współpracy administracji publicznej ze społecznością badaczy bezpieczeństwa. To jedno z pierwszych na świecie przedsięwzięć tego rodzaju, w którym obsługa programu bug bounty odbywa się na niezależnej, krajowej platformie, bez udziału komercyjnych pośredników. Dzięki temu cały proces – od zgłoszenia podatności po komunikację z właścicielem systemu – pozostaje w infrastrukturze zarządzanej przez organizatora – informuje CERT Polska.
Cyfrowy audytor zamiast przestępcy: Kim jest etyczny haker?
Słowo „haker” zazwyczaj bywa utożsamiane z cyberprzestępczością. W świecie technologii oznacza ono jednak po prostu osobę o wysokich kompetencjach w zakresie analizy i przełamywania zabezpieczeń teleinformatycznych. Różnica między przestępcą a sprzymierzeńcem leży w prawie oraz intencjach.
Podczas gdy cyberprzestępcy (tzw. czarne kapelusze) działają nielegalnie, wyłudzając dane, wymuszając okupy czy paraliżując systemy, etyczni hakerzy (tzw. białe kapelusze) pełnią rolę cyfrowych audytorów. Za wiedzą i zgodą dysponenta sieci przeprowadzą oni kontrolowane testy penetracyjne – czyli próbują „złamać” zabezpieczenia na ustalonych zasadach. Gdy natrafią na błąd, nie wykorzystują go do celów prywatnych, lecz przekazują inżynierom szczegółowy raport techniczny. Dzięki temu usterka zostaje naprawiona, zanim odnajdą ją podmioty o nieuprawnionych intencjach.
Wietnamska firma technologiczna otworzyła oddział w Gdańsku
Jak informuje CERT Polska, zdobyte podczas trwania Big Bounty doświadczenia posłużą do dalszego rozwijania inicjatywy i obejmowania nią kolejnych instytucji publicznych. Dla administracji oznacza to dodatkowe wsparcie w identyfikowaniu i eliminowaniu słabości systemów, a dla obywateli – większe bezpieczeństwo usług cyfrowych, z których korzystają na co dzień.
