Уязвимостям найдут цену

Минцифры считает необходимым закрепить государственные тарифы на выплаты за участие «белых хакеров» в Bug Bounty, программе по поиску уязвимостей в IT-системах за вознаграждение. Участники рынка приветствуют предложение министерства, но указывают, что заинтересовать программистов работой с госсектором можно будет, только если тарифы на участие в Bug Bounty будут не ниже рыночных.

Минцифры рассматривает введение «государственных трафив» за участие в программе Bug Bounty — поиске «белыми хакерами» уязвимостей в IT-системах за вознаграждение. Об этом сообщил замминистра Минцифры Александр Шойтов 6 ноября в рамках SOC Forum 2024. По его словам, это одна из мер, направленных на «нормализацию процедуры». «Сейчас многие федеральные и региональные органы власти используют соответствующую программу, однако пока ее не делают обязательной, как это предлагают некоторые участники рынка»,— рассказал он. В частности, еще необходимо обосновать ее эффективность, а также определить зоны ответственности участников тестирования. Для введения Bug Bounty как обязательной процедуры ее необходимо нормализовать, в частности ввести государственные тарифы, заключает господин Шойтов. По словам собеседника “Ъ” на рынке кибербезопасности, речь идет о тарифах на выплаты «белым хакерам» за найденные уязвимости.

В Минцифры “Ъ” пояснили, что инициатива еще прорабатывается и «говорить о каких-либо подробностях и конкретных мероприятиях рано». В министерстве добавляют, что обсуждают различные варианты с ведомствами и отраслью.

Введение тарифов необходимо, чтобы стандартизировать Bug Bounty, объясняет коммерческий директор «Кода Безопасности» Федор Дбар и добавляет, что тарифы нужны еще и «с учетом того, что Bug Bounty может стать обязательной для КИИ и госорганов». Технический директор «Гарда WAF» Лука Сафонов сообщил, что речь идет о разработке сетки тарифов по федеральным округам и «отдельной для общероссийских сервисов типа "Госуслуг"». Он уточняет, что по федокругам суммы выплат могут составить 30–50 тыс. руб. за критические уязвимости, для сервисов — до миллиона рублей.

Как «белых хакеров» подводят под регулирование

Введение государственных тарифов оценивается участниками рынка положительно. «Бизнес сам может определять тарифы на подобную деятельность. Когда речь заходит про государственные системы, вопрос тарифообразования должен быть унифицирован»,— считает директор центра противодействия кибератакам Solar JSOC ГК «Солар» Владимир Дрюков. «Уверен, что тарифы учтут не только интересы бизнеса, но и доходные ожидания сторонних команд, которые участвуют в Bug Bounty и ищут уязвимости в инфраструктуре»,— добавляет Федор Дбар. В BI.ZONE и Positive Technologies инициативу не прокомментировали.

Оценивая риски, связанные с введением тарифов, гендиректор компании «Интернет-розыск» Игорь Бедеров указывает, что участники Bug Bounty могут потерять стимул к работе с уязвимостями, если фиксированная цена за их выявление не будет соответствовать реальному масштабу их значимости и не будет отражать динамику рынка, где стоимость услуг по ИБ оценивается высоко.

Алексей Старостин