Як вигідно перевірити захищеність свого програмного продукту

Згідно з нашими опитуваннями більшість бізнесів упевнені, що вони «замалі» для того, щоб із ними щось сталося. Особливо тривожно це чути від розробників програмного забезпечення, адже від їхньої безпеки залежить безпека всіх їхніх клієнтів — і клієнтів їхніх клієнтів, і клієнтів клієнтів їхніх клієнтів…

Серйозно до своєї кібербезпеки зазвичай ставляться ті, хто вже мав неприємний досвід кіберінцидентів. Біда, звісно, гарний учитель, але доцільніше все ж їй запобігти. Ми пропонуємо почати з малого — пошуку вразливостей у ваших ресурсах за схемою Bug Bounty, тобто винагородження за знайдені ризики.

Що таке Bug Bounty?

До цієї практики вже давно вдаються різноманітні організації по всьому світу, зокрема й українські — monobank, Sendpulse, Prozorro, ПриватБанк, ПУМБ. Подібні програми проводяться й державними установами. Наприклад, Мінцифри кілька разів у форматі Bug Bounty перевіряло на безпечність застосунок «Дія». Попри наявність у себе окремих відділів зі спеціалістами з кібербезпеки ці підприємства закликають сторонніх фахівців шукати помилки та вразливості у своїй цифровій інфраструктурі й продуктах.

Місія DigVel — робити світ безпечнішим, а насамперед — український IT-ринок. Саме тому ми хочемо зробити цей вид тестування доступним для всіх, враховуючи можливості й потреби невеликих компаній. Програма Bug Bounty від DigVel — це можливість для вас перевірити свої застосунки на захищеність силами кваліфікованих фахівців із кібербезпеки. Наші спеціалісти мають 18 років досвіду в аутсорсингу та володіють сертифікатами, які підтверджують їхню компетентність. Цього року ми також отримали ліцензію Державної служби спеціального зв’язку та захисту інформації (ДССЗЗІ) України — визнання державою того, що DigVel є надійним партнером для українського бізнесу.

Які переваги у пошуку вразливостей порівняно з тестом на проникнення?

Повноцінне тестування може бути тривалим і дорогим — і при цьому так і не виявити жодних недоліків, якщо ваша команда розробників якісно виконала свою роботу. Саме тому контрольована, обмежена в часі операція з пошуку вразливостей за винагороди — найкращий спосіб для команд, які докладають зусилля до захисту своїх продуктів, перевірити, наскільки добре їм це вдається.

Тестування нашою командою вашого продукту може взагалі виявитися безплатним: якщо ми знайдемо лише незначні вразливості або не знайдемо жодних. Це наш внесок у розвиток кіберстійкості українських підприємств і установ.

Для чого компаніям перевірка на наявність вразливостей?

В абсолютній безпеці в сучасному кіберпросторі не може почуватися ніхто. Що глибше цифрові технології проникають у наше повсякденне та професійне життя, то більше загроз з’являється.

Продуктові компанії несуть додаткову відповідальність перед своїми клієнтами. Їхні рішення впливають на безпеку великої низки пов’язаних підприємств. Тому навіть невеликий розробник програмного продукту, який недостатньо ретельно простежив за кіберзахистом своєї інфраструктури, може опосередковано посприяти успішній атаці на велику організацію або державну установу. Яскравим прикладом того стала компрометація бухгалтерської програми M.E.Doc у 2017 році.

Сьогодні кібербезпека в бізнесі є конкурентною перевагою. З’являється дедалі більше регуляцій стосовно рішень, що йдуть на експорт, — NIS2, EU CRA, DORA, GDPR тощо, — які вимагають регулярного тестування продуктів на безпеку та відсутності в них відомих вразливостей. Подібні стандарти очікуються і в Україні: наша система регуляції кіберпростору дещо відстає від світового рівня, але ми активно розвиваємося в цьому напрямку. Тож якщо ви хочете, щоб у вашої компанії та вашого продукту було успішне майбутнє, потурбуйтеся про безпеку.

Ви платитимете лише за знайдені нами вразливості

Завершивши тестування в рамках приватної програми Bug Bounty, команда DigVel проаналізує виявлені вразливості, класифікує їх і сформує детальний звіт, у якому опише знахідки й надасть рекомендації для їх усунення.

Оплаті підлягатимуть тільки знайдені вразливості. Тобто вартість перевірки залежить лише від кількості й рівня небезпечності знайдених дефектів:

• вразливості, якими зловмисники не мають змоги скористатись або які не несуть безпосереднього впливу на захищеність даних, ми описуємо як інформаційні — платити за них вам не потрібно;
  
• вразливості, які не несуть суттєвого впливу на компанію й окремих користувачів або використання яких зловмисниками потребує особливих умов, мають низький рівень небезпечності — їх ми також опрацьовуємо безплатно;
  
• вразливості середнього, високого та критичного рівнів небезпечності пов’язані із серйозною загрозою для даних і потребують значних зусиль для їх усунення, а також їх часто непросто знайти.
  
  До таких вразливостей ми відносимо розкриття конфіденційних даних, можливість отримання доступу до конфігураційних файлів, проведення атак із відмови в обслуговуванні, виконання зловмисних команд на сервері тощо. За їх виявлення ми стягуємо плату залежно від їх серйозності.

Тобто ви заплатите навіть не за всі знайдені нами недоліки вашого продукту, а лише ті, які несуть реальну загрозу. Ми могли б узагалі не згадувати у звіті вразливості з низьким рівнем небезпечності, але це суперечить принципам DigVel. Наша мета — підвищити кіберстійкість українського бізнесу, а цифровий світ настільки мінливий і динамічний, що будь-яка незначна прогалинка в системі безпеки може в певний момент несподівано перетворитися на серйозний ризик.

Ринок висуває та висуватиме дедалі більше вимог до постачальників програмних рішень, зокрема тих, що стосуються їх безпечності. Відсутність помилок і вразливостей у продукті — це запорука вашого успіху та довіри клієнтів.

F. A. Q.

Скільки триває тестування у форматі Bug Bounty від DigVel?

2–3 робочі дні. Але нам ще потрібен час на підготовку до тестування та написання звіту.

Що, як знайдеться забагато вразливостей і чек вийде завеликим?

Команда DigVel у реальному часі інформуватиме вас про виявлені критичні вразливості. Після третьої знайденої критичної вразливості ми рекомендуватимемо перейти в режим повноцінного тестування на проникнення, яке за таких умов буде вигіднішим для вас.

Що, як у ході тестування не буде виявлено жодних вразливостей?

Якщо протягом виділеного на пошуки часу ми не знайдемо жодної вразливості, то чесно припинимо роботу й надішлемо вам лист, у якому зазначимо, що вразливостей не знайшли. Як і домовлялися, платити вам ні за що не буде потрібно.

Якщо ж ви плануєте комерційно просувати факт відсутності вразливостей у вашому продукті або інфраструктурі за результатами тестування, ми можемо надати офіційний документ-підтвердження. Але ця послуга вже буде платною.

Що, як певна вразливість лежатиме поза межами контролю замовника? Наприклад, вразливість операційної системи на хостингу.

Ми повідомимо про таку вразливість, але вам не потрібно буде за неї платити.

Чому мені не викласти продукт на публічний майданчик, як-от HackerOne або BugCrowd?

А чому б ні? Можете, звісно, викласти, але якщо досі не виклали, то, найімовірніше, ви боїтесь армії пентестерів чи неконтрольованого розкриття чутливих даних.

Замовляючи ж послугу Bug Bounty в DigVel, ви укладете з нами угоду, яка захистить вашу конфіденційність.

Які гарантії безпеки компанія DigVel надає клієнтам під час проведення приватної програми Bug Bounty?

Ми укладемо з вами договір про нерозголошення конфіденційних даних (NDA), як робимо з усіма нашими клієнтами. Гарантіями безпеки також можуть слугувати наші сертифікати, акредитація та принцип дотримання стандартів — ми його не тільки просуваємо серед бізнесу, а й керуємося ним самі.

Додатково звертаємо вашу увагу до того, що ми гарантуємо якість виконання роботи, але ніхто й ніколи не надасть гарантій відсутності дефектів за результатами тестування.

Як замовити тестування Bug Bounty від DigVel?

Написати нам!

P. S.

Тестування за схемою Bug Bounty з оплатою знайдених вразливостей підійде вам найкраще, якщо ви хочете додатково переконатися в безпечності свого продукту або не маєте власної команди з кібербезпеки. Для ретельної перевірки варто замовити повноцінне тестування на проникнення: за великої кількості знахідок ціна його буде нижчою, а важливість результатів — значно вищою.