A diferença em uma linha
No pentest, você contrata uma equipe para testar um escopo definido, num período definido, e recebe um relatório completo com reteste. No bug bounty, você abre um programa em que pesquisadores independentes procuram falhas por conta própria e você paga uma recompensa por falha válida que eles reportam.
Pentest
- Custo previsível: valor fechado pelo escopo.
- Cobertura planejada: a equipe percorre o sistema de forma metódica, inclusive áreas pouco atrativas.
- Relatório único, com resumo executivo, severidade e correção de cada achado.
- Reteste que comprova as correções: é a evidência que LGPD, clientes e auditorias pedem.
- Pontual: retrata o sistema naquele momento.
Bug bounty
- Contínuo: muitos pesquisadores olhando o sistema ao longo do tempo.
- Paga por resultado: recompensa por falha válida, conforme a severidade.
- Custo variável e difícil de prever, além do tempo interno para triar relatórios.
- Cobertura desigual: pesquisadores tendem a ir para o que rende recompensa mais fácil.
- Exige maturidade: um time pronto para receber, validar e corrigir relatórios com rapidez.
Qual faz sentido para a sua empresa
Para a maioria das empresas pequenas e médias, a ordem que funciona é: primeiro um pentest, para encontrar e corrigir as falhas mais óbvias e ter o relatório como evidência; depois, com a casa arrumada e um time capaz de responder rápido, avaliar um programa de bug bounty como complemento contínuo.
Abrir um bug bounty antes de um pentest costuma gerar uma enxurrada de relatórios de falhas básicas, e cada um custa uma recompensa. Corrigir o básico antes sai mais barato.
Um passo intermediário é publicar uma política de divulgação responsável (e um arquivo security.txt no site), para que quem encontrar uma falha saiba como avisar, mesmo sem recompensa.
Leia também
Fontes: security.txt (RFC 9116)