Компания «Контур», чьи продукты используют каждый третий бизнес в России, в 2024 году расширила систему информационной безопасности, запустив программу багбаунти на площадке Standoff Bug Bounty. Переход от внутренней программы к работе с внешней платформой был обусловлен необходимостью постоянного внешнего контроля над экосистемой из более чем 70 продуктов. Внутренние пентесты давали лишь точечную картину, тогда как платформа предоставила готовую базу исследователей, юридическую инфраструктуру и механизмы выплат, что ускорило старт и снизило операционную нагрузку на команду безопасности.
Руководитель Standoff Bug Bounty Роман Приходько отметил, что площадка берет на себя организацию процесса: от описания правил и оценки багов до коммуникации с исследователями. Для компании «Контур» это позволило превратить багбаунти из дополнительного инструмента в ключевую часть SSDLC (Security-Driven Software Development Life Cycle). Дмитрий Крылатков, лидер программы в «Контуре», подчеркнул, что масштаб бизнеса требует распределенной ответственности за безопасность, встроенной в процессы разработки каждой команды, а скорость реакции на уязвимости стала критическим параметром.
За время работы программы исследователи обнаружили ряд серьезных проблем, включая цепочку уязвимостей, позволяющую удаленно запускать произвольный код, и баг, дающий административные привилегии. Максимальная награда в программе составляет 1 млн рублей, а суммарные выплаты уже превысили 35 млн рублей. Дмитрий Крылатков считает инвестиции оправданными, так как стоимость найденной экспертизы ниже, чем затраты на предотвращение инцидентов или создание внутренней команды с нуля. Эффективность программы оценивается по метрикам: времени триажа, доле критичных багов, скорости их закрытия и вовлеченности сообщества.
Несмотря на успех, команда признала, что при запуске программы стоило бы выделить больше ресурсов на отдел триажа и раньше формализовать внутренние SLA для разработки. Также важно было провести инвентаризацию активов и четко определить скоуп (разрешенную область тестирования) заранее. Крылатков добавил, что доверие к компании со стороны исследователей напрямую влияет на качество отчетов и снижает риск утечки уязвимостей в серый рынок, что особенно важно для бизнес-аудитории, доверяющей чувствительные данные «Контуру».
