Bug Bounty و الإفصاح عن الثغرات

تنشئ سياسة الإفصاح عن الثغرات (VDP) قناة إبلاغ منظَّمة: فهي تحدد النطاق وقواعد العمل والضمانات القانونية للمبلّغين الخارجيين – دون وعد بمكافأة. ويُبنى برنامج Bug Bounty عليها ويكافئ النتائج الصحيحة، لتوجيه جهود الفحص بشكل مقصود نحو أنظمة المؤسسة. والبرامج العامة مفتوحة للجميع وتوسّع نطاق الوصول إلى أقصى حد، لكنها تولّد عبئًا كبيرًا في الفرز؛ أما البرامج الخاصة فتدعو باحثين مختارين وموثّقين، وتتيح تحكمًا أدق في النطاق والجودة. وقد أثبت الترتيب التالي جدواه: أولًا VDP وعملية معالجة داخلية، ثم برنامج المكافآت.

يشير الإفصاح المنسَّق عن الثغرات (CVD) إلى النهج المنسَّق بين المكتشفين والشركات المصنِّعة أو المشغّلين – وعند الضرورة منسّق – حتى تُعالج الثغرة الأمنية وتُنشر بشكل مضبوط. وتشمل العملية عادةً تأكيد الاستلام، والفرز والتحقق، والمعالجة، والنشر المنسَّق لنشرة أمنية (Advisory). وقد ترسّخ على نطاق واسع عُرف زمني مدته 90 يومًا؛ فعلى سبيل المثال يعمل Google Project Zero بنموذج «90+30». وفي ألمانيا يتولى BSI دور المنسّق عندما لا تستجيب الشركات المصنِّعة أو يوشك مسار CVD على الفشل؛ كما يُلزم توجيه NIS2 الدول الأعضاء في الاتحاد الأوروبي بسياسات CVD وطنية.

ينظّم الموضوع معياران متكاملان. يصف ISO/IEC 29147:2018 الواجهة مع الخارج: كيف تستقبل المؤسسات بلاغات الثغرات الأمنية، وتتواصل مع المبلّغين، وتنشر معلومات المعالجة. وينظّم ISO/IEC 30111:2019 العملية الداخلية: التحقق من البلاغات، وتقييم الآثار، وتطوير المعالجات ونشرها. وكلا الإصدارين ساري المفعول حاليًا (أُكّدا آخر مرة في 2024 و2025 على التوالي)، ويصلحان إطارًا مرجعيًا لتصميم السياسات والعمليات – بما في ذلك في ضوء متطلبات قانون المرونة السيبرانية.

يحدد RFC 9116 (Informational، 2022) عبر security.txt صيغة قابلة للقراءة آليًا يجد من خلالها المبلّغون قناة الاتصال الصحيحة: ملف نصي تحت /.well-known/security.txt يُقدَّم عبر HTTPS. والحقلان الإلزاميان هما Contact وExpires؛ ويُوصى بصلاحية تقل عن سنة واحدة لتبقى البيانات محدَّثة. وتشير الحقول الاختيارية مثل Policy وEncryption وPreferred-Languages وAcknowledgments إلى سياسة الإفصاح أو مواد المفاتيح أو اللغات المفضلة. ويُعد الملف أسرع خطوة أولى نحو VDP فعّالة – شريطة أن تكون جهة الاتصال المحددة مراقَبة فعلًا.

تستند مكافآت Bug Bounty عادةً إلى درجة الخطورة، وغالبًا على أساس Common Vulnerability Scoring System (CVSS) الصادر عن FIRST، وهو حاليًا في الإصدار 4.0 (2023). والشائع مبالغ ثابتة أو نطاقات لكل مستوى خطورة؛ ولا يُكافأ في العادة إلا البلاغ الصحيح الأول عن الثغرة، دون البلاغات المكررة والنتائج خارج النطاق. وفي التشغيل توجد ثلاثة نماذج أساسية: التشغيل الذاتي (تحكم كامل، لكن مع عبء ذاتي للفرز وصرف المكافآت)، والمنصات التجارية (نطاق وصول واسع، مقابل ضوضاء أكبر في الفرز)، والبرامج المُدارة مع باحثين منتقَين ومعروفي الهوية وفرز يتولاه مقدّم الخدمة. فعلى سبيل المثال تشغّل VamiSec برنامج Bug Bounty خاصًا ومنتقًى بوصفه خدمة مُدارة.

يجعل قانون المرونة السيبرانية (اللائحة (EU) 2024/2847) المعالجة المنظَّمة للثغرات الأمنية ملزمة للشركات المصنِّعة للمنتجات ذات العناصر الرقمية. ويشترط الملحق I الجزء II، من بين أمور أخرى، قائمة مكونات البرمجيات (SBOM)، والمعالجة الفورية للثغرات الأمنية عبر تحديثات أمنية مجانية، وسياسة للإفصاح المنسَّق عن الثغرات، وعنوان اتصال لبلاغات الثغرات. واعتبارًا من 11.09.2026 تسري أيضًا التزامات الإبلاغ وفق المادة 14: يجب الإبلاغ عن الثغرات الأمنية المستغَلة فعليًا خلال 24 ساعة (إنذار مبكر) و72 ساعة (بلاغ) إلى فريق CSIRT المعيَّن منسّقًا وإلى ENISA عبر منصة الإبلاغ المركزية، ويلي ذلك تقرير نهائي في موعد أقصاه 14 يومًا بعد توفر إجراء تصحيحي. وتسري بقية الالتزامات في جوهرها اعتبارًا من 11.12.2027 – ومن يبني الآن VDP وعملية CVD يستوفي بذلك ركيزة أساسية من الامتثال لـ CRA.