Inicjatywa NASK i CERT Polska wprowadza model współpracy z społecznością IT, który umożliwia specjalistom i pasjonatom technologii wykrywanie luk w systemach rządowych. Program angażuje ‚białych hakerów’, którzy za pomocą legalnych metod testują zabezpieczenia i otrzymują za to wynagrodzenie.
Obszary do analizy: Gdzie można znaleźć słabe punkty?
W programie dostępnym na platformie hack.cert.pl uczestnicy mogą sprawdzać pięć wyznaczonych zasobów:
- Portal GOV.PL – główny serwis informacyjny polskiej administracji rządowej,
- Systemy informatyczne NASK – kluczowe jednostki dbające o bezpieczeństwo sieci,
- Serwisy CERT Polska – instytucja odpowiedzialna za reagowanie na incydenty cyfrowe,
- Komunikator mSzyfr – narzędzie do bezpiecznej wymiany informacji,
- Serwisy Urzędu Gminy Władysławowo – przykład samorządowy w pilotażowej wersji programu.
Wysokość nagrody finansowej uzależniona jest od skomplikowania znalezionej usterki oraz ryzyka, które stwarza. Wynagrodzenie za jedno potwierdzone zgłoszenie może wynosić od kilkuset do 20 tysięcy złotych.
Uczestnictwo i procedury bezpieczeństwa
Uczestnicy programu muszą stosować się do zasady odpowiedzialnego ujawniania podatności (ang. responsible disclosure). Zgłoszenia przesyłane są bezpośrednio do analityków CERT Polska w bezpieczny sposób, co chroni przed nieautoryzowanym dostępem do danych.
Aby wziąć udział w programie, należy mieć ukończone 18 lat, posiadać numer PESEL, polską rezydencję podatkową oraz konto bankowe w Polsce. W przyszłości planowane jest rozszerzenie możliwości uczestnictwa na osoby w wieku 16-18 lat za zgodą opiekuna prawnego.
Jak wskazuje CERT Polska, program ten udostępnia nowy model współpracy administracji publicznej z badaczami bezpieczeństwa. Jest to jedno z niewielu przedsięwzięć tego typu na świecie, realizowane na niezależnej krajowej platformie.
Rola etycznych hakerów: cyfrowi audytorzy
Termin „haker” często kojarzy się z cyberprzestępczością, jednak w kontekście technologii oznacza on osobę z wysokimi umiejętnościami analizy zabezpieczeń. Etyczni hakerzy działają w sposób legalny i z pozwoleniem, by wykrywać słabości systemów. Przeprowadzają testy penetracyjne na ustalonych zasadach, a wszelkie błędy raportują profesjonalnie, co pozwala na ich usunięcie przed wykorzystaniem przez osoby o nieuprawnionych zamiarach.
CERT Polska zapowiada, że doświadczenia zdobyte w ramach programu będą służyć dalszemu rozwoju inicjatywy oraz włączeniu kolejnych instytucji publicznych. Dla administracji oznacza to wsparcie w identyfikacji i eliminacji słabości systemów, a dla obywateli – większe bezpieczeństwo korzystania z usług cyfrowych.