Como funciona
A empresa abre um programa, público ou privado, oferecendo recompensa financeira pra quem encontrar e reportar uma vulnerabilidade de forma responsável, em vez de explorar ou vender a falha.
Vantagem sobre pentest tradicional
Testa continuamente, com muita gente de perfil diferente tentando, em vez de um período fechado de duas ou três semanas com um time só.
A desvantagem que ninguém conta
Precisa de um processo de triagem funcionando de verdade, alguém validando e priorizando os reports que chegam, senão vira bagunça rápido. E só funciona bem quando o básico de segurança já está resolvido, senão o programa recebe uma enxurrada de reports de coisa óbvia, que consome tempo sem gerar valor.
Gestão de programa
É exatamente esse o papel de uma gestão de bug bounty program: cuidar do triage até a remediação, pra que o programa entregue valor real em vez de virar uma fila de e-mail sem resposta.
Já tem ou quer abrir um programa de bug bounty?
Solicitar Bug Bounty Program Management