Novo padrão ouro para proteger hackers de boa fé

Por

• Alex Scroxton, Editor de segurança

  Publicado:

  18 de novembro de 2022 13:30

• Operador do programa de recompensas de bugs e plataforma de hacking ético

  HackerOne lançou uma declaração Gold Standard Safe Harbor (GSSH) para seus clientes para ajudá-los a demonstrar que eles podem e irão proteger hackers éticos de responsabilidade ao hackear de boa fé.

  Qualquer divulgação de vulnerabilidade política ou programa operacional de recompensa por bugs já deve incluir uma declaração de porto seguro para delinear as proteções legais que os hackers éticos podem usar Pect, mas o HackerOne acredita que, ao criar um clichê padronizado, os clientes podem adotar rapidamente um padrão curto, amplo e de fácil compreensão, e os hackers não precisam mais analisar os diferentes termos e condições de várias declarações diferentes.

  “Com o crescimento das superfícies de ataque, o envolvimento saudável do hacker nunca foi tão essencial para reduzir o risco”, disse Chris Evans, CISO e diretor de hacking da HackerOne.

  “Nós da HackerOne queremos para estabelecer um padrão uniforme de excelência que nossos clientes possam adotar para ajudar os hackers a se sentirem seguros e valorizados em programas de clientes. Quando os hackers estão felizes e engajados, as organizações obtêm melhor resistência a ataques.”

  O GSSH está sendo testado por três clientes HackerOne, agência de viagens Caiaque

  , GitLab
  e Yahoo, para “demonstrar seu compromisso em proteger a pesquisa de segurança de boa fé” e aumentar o envolvimento de hackers com seus respectivos esquemas de recompensas por bugs.

  Chefe do Kayak o cientista Matthias Keller disse: “A declaração Gold Standard Safe Harbor nos ajuda a nos diferenciar mais claramente como um programa líder de recompensas por bugs.

  Isso se alinha com as outras práticas recomendadas que seguimos, como pagar na triagem e pagando por valor, para garantir que os melhores hackers se envolvam conosco para proteger a organização.” para adotar a declaração Gold Standard Safe Harbor. Esperamos que isso reduza o fardo de informações para os hackers e torne sua experiência de recompensa de bug mais perfeita, apoiando nossa missão de que todos possam contribuir. mais de 50% dos hackers éticos descobriram uma vulnerabilidade que não relataram, por motivos que incluem a organização ter se mostrado difícil de trabalhar ou ter sido ameaçada com repercussões legais.

  A ameaça de ação legal, ou mesmo prisão, paira sobre os hackers éticos desde que o conceito de teste de penetração existe e, com o crescente escopo e escala do cenário de ameaças cibernéticas nos últimos anos, mais e mais hackers queremos ver uma ação sobre o assunto de uma perspectiva regulatória.

  No Reino Unido, há um foco considerável na necessidade de reformar a Lei de Uso Indevido de Computador (CMA), de 32 anos, que estabelece o delito de acesso não autorizado a um computador, criminalizando efetivamente m quaisquer práticas padrão de hacking ético.

  O CyberUp

  coalizão, um grupo de empresas, associações comerciais, n em organizações governamentais ( ONGs) e advogados provenientes de toda a comunidade de segurança cibernética, tem feito campanha em Westminster sobre esta questão. Ele disse que o CMA impede que profissionais de segurança cibernética e hackers possam defender organizações do Reino Unido de ataques cibernéticos sem correr o risco de serem processados ​​por acesso não autorizado a um computador.

  O governo começou a falar sobre o possibilidade de reforma em 2021, mas esse processo está atualmente um tanto parado. pesquisa e autorizar a pesquisa de boa fé. Espera-se que o GSSH possa, em última análise, ajudar a esclarecer uma distinção na lei entre hacking para pesquisa ou teste de penetração e ataques cibernéticos maliciosos ou violações de dados reportáveis. substituir a declaração de porto seguro existente pelo texto na página do programa e será elegível para exibir um crachá digital ao lado dela. Os hackers, por sua vez, poderão selecionar a participação do GSSH ao pesquisar programas de recompensas de bugs na plataforma do HackerOne.

  
  

  Leia mais sobre hackers e prevenção de crimes cibernéticos

  Pesquisadores criticam HackerOne sobre triagem, problemas de mediação

  

  Por: Alexandre Culafi