# Co je bug bounty?

> Bug bounty je program, který odměňuje externí bezpečnostní výzkumníky za hlášení kvalifikujících zranitelností v systémech či produktech organizace podle definovaného rozsahu a pravidel.

- Kanonická URL: https://yellowcube.eu/cs/glossary/bug-bounty/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Programy nastavují rozsah, způsobilé třídy zranitelností, podmínky safe harbor, kanály hlášení, očekávání triage a struktury odměn — obvykle operující přes zprostředkovatelskou platformu či publikovanou politiku. Odměna je pobídka k hledání, nikoli záruka kvality: programy stále musí validovat, třídit a opravovat to, co dorazí.

Bounty doplňuje, nikoli nahrazuje práci záruky. Crowdsourcuje pozornost napříč širokou, nepředvídatelnou populací výzkumníků, což může vyvěršit defekty, které interní testování minulo — ale také produkuje šum, duplicity a podání mimo rozsah, které nepřipravená funkce triage nemůže absorbovat.

### Klíčové body

- **Návrh programu:** Před vyzváním hlášení definujte rozsah, vyloučení, hranice autorizovaného testování, kritéria závažnosti a odměn, cíle reakce, formulace safe harbor a interní cestu triage a nápravy.
- **Kapacita triage:** Očekávejte vysoký podíl duplicit, málo dopadových nálezů a nezranitelností; před financováním odměn financujte lidi a proces pro zvládnutí objemu.
- **Vhodnost programu:** Kombinujte s politikou zveřejnění zranitelností, interním testováním a vlastnictvím nápravy — bounty bez kohokoli odpovědného za opravy sbírá odpovědnost, nikoli zabezpečení.
- **Důležité omezení:** Účast nedokazuje, že testovaný rozsah je bezpečný, a platba nekupuje důvěrnost ani prověření výzkumníků. Výzkumníci se liší v dovednosti a jednání, hranice rozsahu budou testovány a bounty může přitáhnout protivnickou pozornost i užitečná hlášení.

### Související termíny

[Koordinované zveřejnění zranitelností (CVD)](<https://yellowcube.eu/cs/glossary/coordinated-vulnerability-disclosure/>) · [Penetrační testování](<https://yellowcube.eu/cs/glossary/penetration-testing/>) · [Řízení zranitelností](<https://yellowcube.eu/cs/glossary/vulnerability-management/>) · [Posouzení zranitelností](<https://yellowcube.eu/cs/glossary/vulnerability-assessment/>)

### Zdroje

[CISA, VDP Platform Bug Bounty Fact Sheet](https://www.cisa.gov/sites/default/files/2025-05/CSSO-VDP%20Platform%20Bug%20Bounty%20Fact%20Sheet%202024.pdf) · [CISA, BOD 20-01: Develop and Publish a Vulnerability Disclosure Policy](https://www.cisa.gov/news-events/directives/bod-20-01-develop-and-publish-vulnerability-disclosure-policy) · [NIST SP 800-216, Recommendations for Federal Vulnerability Disclosure Guidelines](https://csrc.nist.gov/pubs/sp/800/216/final)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.