Jak wskazuje NASK, skala zagrożeń rośnie szybciej, niż można byłoby oczekiwać. Od stycznia do września 2026 roku na świecie wykryto ponad 105 tys. nowych podatności. To już więcej niż w całym 2025 roku, kiedy odnotowano ich blisko 71 tys. Jednocześnie w ciągu ostatnich trzech lat liczba podatności na ataki cyfrowe obsłużonych przez CERT Polska, działający w NASK, wzrosła o ponad 300 proc. W tej sytuacji kluczowe staje się nie tylko reagowanie na przeprowadzone ataki, ale również szukanie słabych punktów zanim zostaną wykorzystane. Jednym ze sposobów ma być platforma uruchamiana przez NASK – Bug Bounty.
Milion złotych w puli
Państwowa platforma Bug Bounty ma służyć do przyjmowania zgłoszeń dotyczących podatności w wybranych systemach publicznych. Za weryfikację zgłoszeń odpowiadają eksperci CERT Polska, a potwierdzone podatności mogą być podstawą do wypłaty nagrody. Łączna pula wynosi milion złotych, natomiast za pojedynczą potwierdzoną podatność można otrzymać do 20 tys. zł.
Czytaj więcej
Do szkół trafia poradnik, jak reagować, gdy w sieci pojawią się niebezpieczne treści. Tylko w tym miesiącu platforma Dyżurnet.pl otrzymała 3 tys. n...
Mechanizm ma działać dwustronnie. Badacze otrzymują możliwość legalnego testowania określonych systemów i finansowego wynagrodzenia za znalezione problemy. Instytucje zyskują natomiast dodatkowe źródło informacji o błędach, które mogą zostać usunięte, zanim staną się punktem wejścia dla cyberprzestępców. – Nie ma systemów, które są w 100 proc. bezpieczne. Każdy system ma podatności. Zapraszamy etycznych hakerów, żeby pomogli nam je znaleźć także w systemach rządowych – mówi Radosław Nielek, dyrektor NASK.
Jak podkreśla, samo wykrycie podatności nie jest jednak wystarczające. Kluczowa jest możliwość szybkiego jej usunięcia. Dlatego w programie uczestniczą instytucje, które mają być przygotowane nie tylko na przyjmowanie informacji o lukach, ale również na ich sprawne załatanie.
Co obejmuje program?
W pierwszym etapie Bug Bounty obejmie kilka systemów. Na liście znalazły się portal gov.pl, systemy NASK i CERT Polska, systemy Gminy Władysławowo oraz komunikator mSzyfr. Program ma być jednak rozszerzany o kolejne instytucje, które zdecydują się poddać swoje systemy kontrolowanym testom bezpieczeństwa.
Oznacza to, że badacze nie otrzymują otwartego zaproszenia do dowolnego testowania wszystkich systemów administracji. Program dotyczy konkretnych, wskazanych systemów i określonych zasad ich testowania. Zgłoszenia są przyjmowane za pośrednictwem platformy hack.cert.pl, a następnie analizowane przez ekspertów CERT Polska.
Czytaj więcej
Cyberprzestępcy po raz kolejny podszywają się pod instytucję finansową, jednak tym razem ich potencjalnymi ofiarami mają być przedsiębiorcy. Liczne...
Państwo chce mieć kontrolę nad zgłoszeniami
Jednym z najważniejszych elementów nowego programu jest to, że NASK stworzył własną platformę do obsługi Bug Bounty. Nie jest ona oparta na zewnętrznych serwisach tego typu. Informacje dotyczące wykrytych podatności mają pozostawać w zamkniętym obiegu, pod kontrolą zespołów zajmujących się ich weryfikacją i usuwaniem.
To istotne w przypadku systemów publicznych, ponieważ informacje o niezałatanych podatnościach same w sobie mogą być wrażliwe. Własna infrastruktura ma pozwolić NASK kontrolować cały proces – od zgłoszenia, przez jego weryfikację po przekazanie informacji osobom odpowiedzialnym za usunięcie problemu.
– O programie Bug Bounty dla instytucji publicznych w Polsce rozmawiało się od wielu lat, ale długo pozostawał on w sferze marzeń. To jest, według mojej wiedzy, pierwsza taka sytuacja, gdzie rząd stworzył własną platformę do tego typu wyzwania – mówi Marcin Dudek, szef CERT Polska.
Jak dodaje, na świecie działają rządowe programy Bug Bounty, ale korzystają one z usług zewnętrznych firm. W Polsce NASK chce prowadzić program na własnej infrastrukturze i wokół platformy budować społeczność badaczy bezpieczeństwa.
Czytaj więcej
Etyczna hakerka, która właśnie zdobyła kilka nagród w prestiżowym międzynarodowym konkursie, ostrzega, że narzędzia AI, takie jak Mythos, sprawią,...
Kto może zostać badaczem?
Program jest skierowany do pełnoletnich osób, które posiadają numer PESEL, polską rezydencję podatkową oraz polski rachunek bankowy, na który może zostać wypłacona nagroda. Tożsamość uczestników jest potwierdzana podczas logowania przez Węzeł Krajowy Identyfikacji Elektronicznej.
NASK przewiduje również rozszerzenie programu. W kolejnych etapach możliwość udziału ma zostać udostępniona osobom w wieku od 16 do 18 lat, pod warunkiem uzyskania zgody opiekuna prawnego.
Dla uczestników kluczowe są zasady określające, jakie systemy można testować i w jaki sposób należy zgłaszać znalezione problemy. Zgłoszenia, lista objętych programem systemów oraz zasady udziału są dostępne na platformie hack.cert.pl.
