Una plataforma de bug bounty es un espacio de encuentro entre empresas y hackers profesionales. 

Las empresas solicitan el apoyo de hackers expertos para identificar y reportar de manera responsable las brechas de seguridad presentes en sus sistemas, a cambio de una compensación económica.

CyScope es una de las únicas plataformas de bug bounty de habla hispana en el mundo.

Empezar con CyScope es sencillo. 

Crea tu perfil y registra tu empresa indicando tu nombre completo, correo electrónico y contraseña de seguridad. 

Solo el equipo administrador de CyScope tiene acceso a esta información para liderar las operaciones. CyScope se compromete a mantener la confidencialidad de los datos de todos los usuarios de la plataforma.

La creación de un programa de seguridad se realiza desde la sección “programas”.

La primera etapa consiste en llenar un formulario técnico proporcionando detalles relevantes, tales como el tipo de proyecto a revisar (App web, móvil, IoT etc.), el ámbito de pruebas, las reglas del programa (pruebas eligibles, acciones prohibidas, expectativas etc.) y el monto de cada recompensa. CyScope recomienda ser lo más claro posible al momento de crear el programa para orientar a los hackers hacía un objetivo preciso. 

Si lo deseas, puedes seleccionar servicios adicionales tales como un retest, recibir el apoyo de nuestro equipo interno para gestionar tu programa y otros servicios creados para optimizar tu experiencia en nuestra plataforma.

Es la parte más importante del formulario de creación del programa. Si es la primera vez que lanzas un programa de bug bounty, te recomendamos definir un ámbito de pruebas restringido y controlado. Con un mejor conocimiento de la plataforma podrás ampliar el alcance de las pruebas. 

El equipo administrador de CyScope está a tu lado para definir el alcance de tu proyecto de tal forma que sea entendible y atractivo para la comunidad de hackers.

En base a nuestra experiencia, un proyecto es atractivo para un hacker si reúne una serie de parámetros: 

• Una propuesta de recompensas atractiva. 
• Una descripción del activo y de las reglas del programa suficientemente entendibles para no generar confusión en los hackers.
• Un alcance amplio para que los hackers puedan indagar y expresar su creatividad.
• Si el programa es privado, te recomendamos actualizar frecuentemente el grupo de trabajo aumentando la cantidad de hackers o modificando el tipo de perfil de los participantes.

Por ahora, cualquier aplicación web, móvil, software, API o IoT (Internet de las Cosas). En el futuro, probablemente otros tipos de activos únicos.

Un programa público está dirigido a toda la comunidad de hackers de CyScope.

Un programa privado está reservado a un grupo de hackers preseleccionados por su perfil, experiencia u otros parámetros definidos por el cliente.

Lo único que tienes que hacer es seleccionar la opción “programa privado” en el formulario técnico de creación de un programa. Nos comunicaremos contigo para establecer una lista de participantes en base a tus criterios. 

El equipo de investigación de CyScope realiza una revisión de antecedentes, recopila toda la documentación legal solicitada por la plataforma y valida la autenticidad de cada información proporcionada. 

Los hackers deben firmar los términos y condiciones generales de la plataforma, un acuerdo de confidencialidad y aceptar formalmente la política de divulgación y de seguridad de la plataforma. Si lo deseas, puedes reforzar este proceso enviando tu propio acuerdo de confidencialidad para que los hackers lo firmen antes de empezar a revisar tus activos.

Finalmente, los hackers van ganando puntos a medida que participan en nuevos programas. Los puntos acumulados toman en consideración la calidad de sus reportes, la colaboración y comunicación con el equipo interno de CyScope y con el cliente. La cantidad de puntos obtenidos determina su posicionamiento en el ranking mundial de CyScope lo cual representa un factor de motivación para entregar un trabajo profesional y ético. 

Los hackers que no cumplen con el conjunto de requisitos y reglas mencionados anteriormente son descartados de la plataforma.

Al momento de crear un programa, defines el monto de cada recompensa en base al nivel de severidad (crítico, alto, medio, bajo) de la vulnerabilidad encontrada. Mientras más alta sea la recompensa, más atractivo será el programa para el hacker. 

El pago del reporte está reservado para el primer hacker que haya reportado una vulnerabilidad válida. Los reportes duplicados no se pagan, pero el hacker gana puntos que le permiten aumentar su visibilidad en el ranking mundial de la plataforma. 

El equipo administrador de CyScope gestiona el pago de las recompensas a través de una plataforma externa, informándote de forma inmediata este pago.  

Ambos. 

Tienes la posibilidad de crear un programa puntual, con un plazo definido, que cierras cuando consideras que se cumplió el objetivo definido. 

Los programas continuos permanecen abiertos y se van actualizando en base a la información proporcionada, de tal manera que se mantenga una revisión permanente sobre los activos definidos en el alcance.