Bug bounty

Een bug bounty is een programma waarbij organisaties beloningen uitloven aan externe beveiligingsonderzoekers die kwetsbaarheden in hun systemen ontdekken en verantwoord melden. In plaats van te wachten tot kwaadwillenden een zwakke plek vinden, nodig je met een bug bounty programma ethisch hackers actief uit om je systemen te testen. De Nederlandse overheid loopt internationaal voorop met haar bug bounty programma via het NCSC, dat meer dan duizend overheidsdomeinen omvat. Bug bounty programma's besparen organisaties aanzienlijk op kosten vergeleken met de schade van een daadwerkelijk datalek dat gemiddeld miljoenen euro's kost. Steeds meer Nederlandse organisaties, van financiele instellingen tot techbedrijven, omarmen bug bounties als vast onderdeel van hun beveiligingsstrategie.

Hoe werkt een bug bounty? Stappen

Een bug bounty programma begint met het definieren van de scope: welke systemen, applicaties en domeinen mogen onderzoekers testen en welke zijn expliciet uitgesloten. Je stelt duidelijke regels op die beschrijven welke testmethoden zijn toegestaan en welke verboden zijn, zoals denial-of-service aanvallen, het benaderen van echte klantdata of het wijzigen van productiedata. Vervolgens bepaal je de beloningsstructuur, waarbij de hoogte afhangt van de ernst van de gevonden kwetsbaarheid, beoordeeld volgens standaarden zoals CVSS.

Organisaties kiezen tussen een publiek programma, open voor alle onderzoekers wereldwijd, of een besloten programma met uitgenodigde specialisten die vooraf zijn gescreend. Platformen zoals HackerOne en Bugcrowd faciliteren het volledige proces: ze bieden een beveiligd meldingsportaal, een triageteam dat meldingen beoordeelt op geldigheid en ernst, betalingsafhandeling in meerdere valuta en gestructureerde communicatie tussen onderzoekers en je security-team. Het triageteam filtert dubbele meldingen, out-of-scope bevindingen en vals-positieven, waardoor je interne team zich uitsluitend richt op echte, gevalideerde kwetsbaarheden.

Na validatie van de kwetsbaarheid ontvangt de onderzoeker de afgesproken beloning en krijgt je security-team een gedetailleerd rapport met reproductie-stappen, impact-analyse en aanbevolen oplossingsrichting. Je lost de kwetsbaarheid op, verifieert de fix en sluit het rapport. Dit hele proces heet responsible disclosure of coordinated vulnerability disclosure. De gemiddelde doorlooptijd van melding tot fix varieert van enkele dagen voor kritieke kwetsbaarheden tot enkele weken voor minder urgente bevindingen.

Na het oplossen communiceert je de fix terug naar de onderzoeker, die verifieert dat het probleem daadwerkelijk is verholpen en niet opnieuw te exploiteren is via een variatie op de originele aanval. Veel programma's publiceren een hall of fame of leaderboard om top-onderzoekers publiekelijk te erkennen. Deze erkenning, gecombineerd met financiele beloningen, motiveert onderzoekers om actief en langdurig bij te blijven dragen aan je programma. De best presterende onderzoekers ontwikkelen diepgaande kennis van je systemen en vinden steeds complexere kwetsbaarheden.

Wanneer voer je een bug bounty uit?

Een bug bounty programma past bij organisaties die al een basisniveau van beveiliging hebben bereikt. Start pas een programma nadat je interne security-processen op orde zijn, inclusief patch management, vulnerability scanning en een vulnerability management-proces. Anders word je overspoeld met meldingen van bekende kwetsbaarheden die je zelf had moeten vinden via reguliere scans en audits, wat onderzoekers frustreert en je reputatie schaadt.

Bug bounties zijn vooral waardevol als aanvulling op een penetratietest. Waar een pentest een momentopname is door een beperkt team van drie tot vijf specialisten gedurende enkele weken, biedt een bug bounty continue dekking door honderden onderzoekers met diverse expertise, achtergronden en aanvalsperspiectieven. Organisaties met publiek beschikbare webapplicaties, API's en mobiele apps profiteren het meest omdat deze assets direct toegankelijk zijn voor onderzoekers.

NIS2-plichtige organisaties gebruiken bug bounties als aanvullende maatregel om aan te tonen dat ze actief en continu kwetsbaarheden opsporen. De combinatie van periodieke pentests en een doorlopend bug bounty programma vormt een sterke verdediging die zowel diepte als breedte biedt. Ook ISO 27001 erkent bug bounties als onderdeel van een volwassen vulnerability management-programma dat continue verbetering aantoont.

Startups en scale-ups die snel nieuwe features uitrollen profiteren bijzonder van bug bounties. De snelle release-cycli introduceren regelmatig nieuwe kwetsbaarheden die interne teams door tijdsdruk missen. Een bug bounty programma biedt een permanent vangnet dat continu meekijkt met elke nieuwe release en elk nieuw endpoint. Financiele instellingen, overheidsorganisaties en techbedrijven zijn wereldwijd de meest actieve gebruikers van bug bounty programma's.

Wat kost een bug bounty?

De kosten van een bug bounty programma bestaan uit platformkosten, beloningen en intern beheer. Platformkosten bij HackerOne of Bugcrowd beginnen rond 10.000 tot 20.000 euro per jaar voor een besloten programma met beperkte scope. Publieke programma's kosten meer door het hogere volume aan meldingen en de bredere triagecapaciteit die nodig is. Beloningen varieren sterk: een lage-ernst kwetsbaarheid (informational of low) levert de onderzoeker 50 tot 500 euro op, een kritieke kwetsbaarheid (remote code execution, SQL injection met datalekkage) 5.000 tot 50.000 euro of meer bij grote techbedrijven.

Het gemiddelde MKB-bedrijf betaalt jaarlijks 15.000 tot 40.000 euro aan beloningen, afhankelijk van de scope, de kwaliteit van de bestaande beveiliging en het aantal gevonden kwetsbaarheden. Vergelijk dit met de gemiddelde kosten van een datalek in Nederland, die rond de 4,5 miljoen euro liggen. De return on investment van een bug bounty programma is daarmee uitstekend. Daarnaast heb je interne capaciteit nodig om meldingen te beoordelen en op te lossen: reken op minimaal 8 tot 16 uur per week aan security-engineeringtijd, afhankelijk van het volume.

Een alternatief voor MKB-organisaties die nog niet klaar zijn voor een volledig bug bounty programma is het opzetten van een responsible disclosure-beleid zonder financiele beloningen. Je nodigt onderzoekers uit om kwetsbaarheden te melden en biedt erkenning, een bedankje of merchandise in plaats van geld. Dit verlaagt de drempel aanzienlijk maar trekt minder ervaren onderzoekers aan dan een betaald programma. Veel organisaties beginnen met responsible disclosure en stappen later over naar een betaald bug bounty wanneer het volume en de organisatorische maturiteit toenemen.

Veelgestelde vragen over bug bounty

Wat is het verschil tussen een bug bounty en een penetratietest?

Een penetratietest is een gerichte opdracht door een beperkt team gedurende een afgebakende periode met een vast rapportageformat en einddatum. Een bug bounty is een doorlopend programma waarbij honderden onderzoekers continu testen. Pentests geven diepte, bug bounties geven breedte en continuiteit.

Is een bug bounty programma juridisch veilig?

Ja, mits je duidelijke regels opstelt in een responsible disclosure-beleid. Dit beleid beschermt onderzoekers tegen juridische vervolging zolang ze zich aan de afspraken houden. De Nederlandse overheid en het NCSC hebben hier richtlijnen voor opgesteld.

Hoeveel kwetsbaarheden vind je via een bug bounty?

Dit varieert sterk per organisatie en scope. Een gemiddeld programma ontvangt 20 tot 100 meldingen per jaar, waarvan 30 tot 50 procent valide kwetsbaarheden zijn. Nieuwe programma's ontvangen doorgaans meer meldingen in de eerste maanden wanneer onderzoekers het laaghangend fruit vinden.

Kan elk bedrijf een bug bounty starten?

Technisch gezien wel, maar zonder basisbeveiliging op orde is het niet effectief en zelfs contraproductief. Zorg eerst dat bekende kwetsbaarheden zijn opgelost, dat je een intern proces hebt voor het afhandelen van meldingen en dat je security-team voldoende capaciteit heeft.

Wat als een onderzoeker schade veroorzaakt?

Goede programmaregels beperken de testmethoden en sluiten destructieve acties expliciet uit. Platformen bieden bemiddeling bij geschillen. Bij schade buiten de scope is de onderzoeker aansprakelijk volgens de programmavoorwaarden en het toepasselijke recht.

Vind een specialist voor beveiligingstesten via Pentesting op IBgidsNL.