Een bug bounty is een programma waarmee een organisatie beveiligingsonderzoekers uitnodigt om lekken te zoeken in hun software of website. Vind je er een en meld je het volgens de regels, dan krijg je een beloning: geld, of soms alleen vermelding. Bounty betekent letterlijk premie. Grote partijen als Microsoft en Google draaien zulke programma’s al jaren.
De meeste MKB-bedrijven zetten zelf geen bug bounty op; dat vraagt tijd en een team dat meldingen kan beoordelen. Toch is het begrip nuttig om te kennen, want het zegt iets over je leveranciers. Een softwareleverancier met een bug bounty of een duidelijk meldpunt neemt beveiliging serieus en krijgt lekken eerder in beeld dan een leverancier waar niemand weet waar hij iets moet melden. Dat is een prima vraag tijdens een selectiegesprek.
Een goed programma legt vooraf vast wat wel en niet mag: welke systemen meedoen, dat er niet met echte klantdata gerommeld wordt, en dat een melder niet publiceert voordat het lek gedicht is. Verwar het niet met een pentest, waarbij je zelf een partij inhuurt om binnen een afgesproken periode gericht te testen. Een bug bounty loopt continu en je betaalt per gevonden lek. Heb je geen programma, zorg dan in elk geval voor een meldpunt op je site zodat iemand die iets vindt weet waar hij terechtkan.
Wat OkayICT hierin doet: Wij toetsen bij leveranciersselectie of een aanbieder een bug bounty of meldpunt heeft, en richten voor jou een eigen meldprocedure in.
Meer lezen: Wat is responsible disclosure? · Wat is een pentest?
