Aprender y contratar
Bug bounty o pentest: comparación de los dos enfoques
Las dudas sobre bug bounty suelen preguntar qué enfoque comprar. Sin embargo, un programa de recompensas y una prueba de penetración acotada hacen trabajos distintos, y muchas organizaciones usan ambos.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
En qué difieren el bug bounty y el pentest
Un programa de bug bounty invita a investigadores a informar de fallos a cambio de recompensas. En cambio, una prueba de penetración es un proyecto acotado, con un equipo con nombre y un informe.
| Tema | Bug bounty | Prueba de penetración |
|---|---|---|
| Pago | Por hallazgo válido | Tarifa fija |
| Cobertura | Desigual y continua | Definida por el alcance |
| Entregable | Informes sueltos | Un informe estructurado |
| Uso en auditoría | Limitado | Hecho para ello |
Cuándo encaja un bug bounty
Las recompensas encajan con equipos maduros y productos públicos, y exigen personal que clasifique rápido los informes.
- Productos web y móviles públicos
- Equipos capaces de corregir rápido
- Una política de divulgación clara
- Presupuesto para recompensas
¿Recompensas o prueba acotada? Una revisión
Marque lo que describe a su organización antes de elegir bug bounty o pentest.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Cuándo conviene una prueba acotada en vez de un bug bounty
Auditores y clientes suelen querer una prueba acotada. Por eso el cumplimiento, los sistemas internos y las revisiones previas a un lanzamiento favorecen una prueba de penetración.
Las reglas importan en ambos
Los dos enfoques dependen de la autorización. Un programa de recompensas necesita una política publicada que diga qué pueden probar los investigadores. Además, la política de acusación del Departamento de Justicia de EE. UU. de 2022 trata la investigación de seguridad de buena fe.
Contratar una prueba acotada
Cipher Bridge realiza pruebas acotadas y autorizadas con un informe por escrito. Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes.
Planee además la clasificación antes de lanzar un programa de recompensas. Si los informes llegan en volumen, un responsable y plazos de respuesta mantienen comprometidos a los investigadores. Decida quién revisa, quién corrige y quién paga, y empiece con un programa privado, que limita el volumen mientras maduran los procesos.
Preguntas sobre bug bounty y pentest
¿Un bug bounty cuesta menos que un pentest?
Depende de los hallazgos y las recompensas, así que el costo varía.
¿Un bug bounty puede sustituir una prueba lista para auditoría?
Normalmente no. Los auditores prefieren una prueba acotada con informe.
¿Empezamos con un bug bounty o con una prueba?
Casi todos empiezan con una prueba acotada y luego añaden un programa de recompensas.
¿Los investigadores necesitan permiso?
Sí. La política del programa lo concede y lo limita.
Guías relacionadas
Decida con asesoría entre recompensas y prueba
Díganos qué protege. Un profesional sénior responde en un día hábil con un alcance por escrito y una tarifa fija.
Pregunte por pruebas autorizadas