Abraxas, der IT-Service Anbieter für die öffentliche Hand, geht einen neuen Weg in der Softwareentwicklung: Zum Abraxas Security Framework gehört neu ein Bug Bounty Programm, das der Anbieter des neuen Ergebnisermittlungssystem für die Kantone St. Gallen und Thurgau gemeinsam mit Bug Bounty Switzerland durchführt. Transparenz, Kollaboration und Vertrauen in die Sicherheit des Systems sind entscheidend für die digitale Demokratie.
Um höchste Sicherheitsanforderungen zu erfüllen, braucht es die Zusammenarbeit mit ethischen Hackern und Security Researcherinnen. So können verborgene Sicherheitslücken gefunden werden, die mit traditionellen Testmethoden verborgen bleiben. Dieser Prozess soll so transparent wie möglich und für die Öffentlichkeit nachvollziehbar ablaufen, damit Vertrauen in die neue Lösung entsteht.
Um diesen neuen Weg in der Softwareentwicklung zu gehen, hat Abraxas eine Partnerschaft mit dem Bug Bounty Switzerland gestartet und basierend darauf das Abraxas Security Framework entwickelt. Dieses enthält neu ein Bug Bounty Programm inklusive Quellcodeveröffentlichung. Es wird erstmals beim neuen Ergebnisermittlungssystem für Wahlen und Abstimmungen der Kantone St. Gallen und Thurgau angewendet.
Abraxas Security Framework mit Bug Bounty und Quellcodeveröffentlichung
Das Security Framework von Abraxas enthält neben bisherigen Audits und Sicherheitstest ein iteratives Bug Bounty Programm inklusive Quellcodeveröffentlichung. Dieses beginnt mit einer privaten Phase, in welche ausgewählte ethische Hacker und Security Researcherinnen aus der Community von Bug Bounty Switzerland eingeladen werden. Danach wird die Teilnehmerzahl laufend erhöht, bis das Programm öffentlich wird und jeder daran teilnehmen kann. Parallel dazu wird der Quellcode veröffentlicht. Gefundene und dokumentierte Schwachstellen werden fortlaufend transparent publiziert. Damit soll ein höchstmögliches Sicherheitslevel erreicht und Public Trust aufgebaut werden. Das private Bug-Bounty-Programm startet am 23. Mai 2022 und wird auf der Schweizer Plattform von Bug Bounty Switzerland durchgeführt.
Ökosystem für Vulnerability Management und Public Trust
Die Schweizer Plattform von Bug Bounty Switzerland wurde im Februar 2021 lanciert und für das erste Bug Bounty Projekt in der Bundesverwaltung eingesetzt, welches zusammen mit dem Nationalen Zentrum für Cybersicherheit (NCSC) durchgeführt wurde. Seither wird die Plattform zum Schweizer Ökosystem für Vulnerability Management & Public Trust weiterentwickelt. Damit werden Schweizer Organisationen dazu befähigt, möglichst effizient mit ethischen Hackern und Security Researcherinnen zusammenzuarbeiten sowie neue Handlungsfähigkeiten im Umgang mit ihrer zunehmenden Verletzlichkeit zu erlangen – über alle Hierarchiestufen hinweg und die eigenen Organisationsgrenzen hinaus.
Wichtiger Beitrag für die Sicherheit der Schweiz
Bug Bounty Switzerland freut sich sehr über die Partnerschaft mit Abraxas und darüber, gemeinsam einen wichtigen Beitrag zu einer sicheren Schweiz zu leisten. Soll die digitale Transformation der Schweiz gelingen, spielen Sicherheit und Vertrauen eine zentrale Rolle, gerade für den öffentlichen Sektor. Mit diesem modernen, transparenten und kollaborativen Vorgehen setzten die involvierten Parteien ein wichtiges Zeichen und unterstützen den Paradigmenwechsel «Sicherheit durch Transparenz».
Wir sind zudem stolz, dass wir die Partner-Evaluierung von Abraxas gewonnen haben und uns mit unserem ganzheitlichen Angebot und einzigartigen Erfahrungsschatz im Aufbau von organisationsweiten Bug Bounty Programmen, sowie der Durchführung von öffentlichen Kollaborations- und Vertrauensinitiativen, klar von der starken internationalen Konkurrenz abheben. Damit bauen wir unsere Position als Schweizer Marktführer für Bug Bounty und Public Trust Programme weiter aus.
Gemeinsam für eine sichere Schweiz.
