hh.ru платит до 500 тысяч за критические уязвимости

hh.ru платит до 500 тысяч за критические уязвимости

hh.ru платит до 500 тысяч за критические уязвимости

HeadHunter выходит в открытый баг-баунти. Теперь проверить сервисы крупнейшей российской платформы онлайн-рекрутинга на прочность смогут все желающие исследователи безопасности на площадке Standoff Bug Bounty. Компания привлекает независимых баг-хантеров к тестированию своей инфраструктуры, сервисами HeadHunter ежемесячно пользуются около 18 млн человек, так что на кону действительно много.

За самые опасные находки обещают до 500 тысяч рублей.

В рамках публичной программы можно исследовать ключевые цифровые активы компании: основной сайт hh.ru, облачную CRM-систему для рекрутинга Talantix и профессиональную соцсеть «Сетка».

Вознаграждение зависит от уровня критичности уязвимости. За баги критического уровня — до 500 тысяч рублей, за уязвимости высокой степени опасности — до 250 тысяч.

До этого HeadHunter тестировала формат в приватном режиме, а также участвовала в закрытом мероприятии для баг-хантеров на Standoff Bug Bounty. Тогда исследователям суммарно выплатили более 920 тысяч рублей.

«Мы — одна из крупнейших площадок для поиска работы, и нам есть что терять, — отметил руководитель кибербезопасности HeadHunter Михаил Щербаков. — Когда компания понимает ценность своих данных и сервисов, она неизбежно сопоставляет риски и ищет эффективные инструменты защиты. hh.ru сделан для людей, и нам важно, чтобы их базовая потребность в безопасности распространялась и на цифровую жизнь. Поэтому мы вышли в баг-баунти. Для любой технологической компании это должна быть стандартная практика».

В компании добавляют, что особенно заинтересованы в «интересных кейсах» — нестандартных и сложных уязвимостях. По их словам, независимые исследователи со Standoff Bug Bounty уже находили критичные для бизнеса проблемы, за которые получали вознаграждения в диапазоне 400–500 тысяч рублей.

Похоже, HeadHunter решила сделать ставку на открытость: чем больше внимательных глаз смотрят на инфраструктуру, тем выше шансы вовремя закрыть уязвимость.

Positive Education запускает программу для CISO нового уровня

Центр практического обучения Positive Education объявил о запуске новой программы для директоров по информационной безопасности. Курс «CISO 3.0: управление на уровне бизнеса» рассчитан на руководителей, которым уже недостаточно разбираться только в технологиях защиты — теперь от них ждут понимания бизнеса, финансов и стратегии.

Поводом для появления программы стали результаты совместного исследования Positive Education, SuperJob и консалтинговой компании the Edgers.

Оно показало, что лишь 25% генеральных директоров высоко оценивают компетенции своих CISO. Главные претензии — слабые управленческие навыки и недостаточное понимание бизнес-процессов. В результате вопросы кибербезопасности нередко остаются вне стратегической повестки компании.

Организаторы отмечают, что большинство существующих программ для CISO по-прежнему сосредоточены на нормативных требованиях и технических аспектах защиты. Однако рынок всё чаще требует другого: умения говорить с руководством на языке бизнеса, оценивать киберриски в денежном выражении и аргументированно обосновывать инвестиции в безопасность.

Программа состоит из трёх модулей, посвящённых стратегии кибербезопасности, бизнес-мышлению и управлению изменениями. Помимо лекций участников ждут практические задания, дискуссии с приглашёнными экспертами и работа над собственным проектом. В финале каждый должен будет защитить стратегию кибербезопасности своей организации перед отраслевыми экспертами.

Среди заявленных спикеров — сооснователь Positive Technologies и фонда «Сайберус» Юрий Максимов, бизнес-консультант Алексей Лукацкий, независимый директор Наталья Воеводина, а также специалисты в области финансового управления и организационных изменений.

Очная программа стартует 11 сентября в Москве и продлится восемь недель. Она ориентирована на действующих руководителей ИБ и CIO, которым необходимо встроить вопросы кибербезопасности в систему управления компанией, а не только в работу ИТ-подразделения.

RSS: Новости на портале Anti-Malware.ru