Formation Bug Bounty

Description

Cette formation Bug Bounty vous permettra de comprendre les enjeux d'une approche ouverte et participative de la sécurité, et de mettre en place un programme de divulgation responsable ou de bug bounty adapté à votre organisation.

Pendant 1 journée, vous apprendrez à :

• lancer un programme de bug bounty structuré, du choix de la plateforme à la définition du périmètre et du barème de récompenses,
• gérer le flux de rapports de vulnérabilités de bout en bout : triage, qualification, communication avec les chercheurs,
• piloter et améliorer votre programme dans le temps pour en maximiser l'impact sur votre niveau de sécurité.

À l'issue de la formation, vous serez en mesure de lancer ou d'améliorer un programme de bug bounty au sein de votre organisation, quelle que soit sa taille ou son secteur d'activité.

🇺🇸 Cette formation est aussi disponible en anglais

Public

Cette formation s'adresse aux responsable sécurité (RSSI, SSI), aux développeur·euse·s et ingénieur·e·s souhaitant mettre en place ou améliorer un programme de divulgation responsable ou de bug bounty au sein de leur organisation.

Les objectifs

• Comprendre les fondements et les enjeux d'un programme de bug bounty
• Distinguer politique de divulgation responsable et programme de bug bounty
• Concevoir un programme adapté à son organisation (périmètre, règles, récompenses)
• Traiter et qualifier les rapports de vulnérabilités reçus
• Gérer la relation avec les chasseurs de primes de manière professionnelle
• Mesurer et améliorer l'efficacité d'un programme dans le temps

Pré-requis

• Notions de base en sécurité informatique
• Ordinateur portable à apporter

Le programme de la formation Bug Bounty

Jour 1 — Concevoir et opérer un programme de bug bounty

• Pourquoi aucun système n'est parfaitement sécurisé
  • Limites des approches classiques : audits internes, pentests ponctuels, outils automatisés
  • L'approche ouverte et participative comme complément indispensable
  • Panorama des organisations ayant adopté un programme (startups, multinationales, institutions publiques)
• Politique de divulgation responsable (VDP) vs programme de bug bounty
  • Définitions et différences structurelles
  • Cas d'usage : quand commencer par une VDP, quand passer au bug bounty
  • Cadre légal et éthique : ce que la loi autorise, ce qu'elle encadre
• Les plateformes de bug bounty
  • Panorama des plateformes principales (HackerOne, Bugcrowd, YesWeHack, Intigriti…)
  • Programme géré en interne vs externalisé sur plateforme
  • Critères de choix selon la maturité et les ressources de l'organisation
• Concevoir le périmètre et les règles d'engagement
  • Définir ce qui est dans le scope (assets, endpoints, applications)
  • Rédiger des règles d'engagement claires et sans ambiguïté
  • Gérer les exclusions et les comportements hors périmètre

Mises en pratique :

• Analyse de programmes de bug bounty réels : identifier les forces et faiblesses de leur périmètre et de leurs règles
• Rédaction d'une politique de divulgation responsable pour un cas fictif
• Construction d'un barème de récompenses
• Qualification et traitement des rapports de vulnérabilités
• Gestion de la relation avec les chasseurs de primes et pilotage du programme

Télécharger le programme

Formateur

Florian DURANO

Florian est un professionnel de la cybersécurité et du cloud avec plus de vingt ans d’expérience. Développeur à l’origine, il a très tôt orienté sa carrière vers la sécurité.

Aujourd’hui, il intervient auprès d’organisations de tailles variées : sensibilisation, hygiène sécurité, gouvernance, RGPD, Red Team ou encore sécurisation des chaînes d’approvisionnement. Son approche est résolument humaine : il adapte systématiquement le dosage théorie/pratique au public et adopte une posture de coach, favorisant les échanges et la mise en situation concrète.

Convaincu que l’humain reste le maillon essentiel de la sécurité, Florian transmet avec passion son expérience de terrain, ses retours d’audits et ses travaux en bug bounty. Ses formations, vivantes et interactives, permettent aux participants de progresser rapidement tout en ancrant les bonnes pratiques dans leur quotidien.

FAQ

8 raisons de participer à une formation Human Coders

• Satisfaction client élevée : Un taux de statisfaction de 4,6/5 depuis 2012 (sur 1847 sessions réalisées). 99% des participants se disent satisfaits de nos formations
• Approche pédagogique unique : Des formations en petit groupe, des formateurs passionnés et expérimentés, de véritables workshops... (Plus d'infos sur notre manifeste)
• Catalogue de formations complet : 234 formations au catalogue, de quoi vous accompagner sur tout vos projets
• Écosystème dynamique : Nous accompagnons les dev depuis 14 ans avec des initiatives comme Human Coders News, les Human Talks, le podcast ou encore notre serveur Discord
• Financement facilité : Organisme certifié Qualiopi, indispensable pour que vous puissiez obtenir des aides au financement via votre OPCO
• Références clients prestigieuses : De nombreux clients qui nous font confiance depuis des années
• Accompagnement sur mesure : Nous vous proposons un accompagnement personnalisé par nos consultants pour vous aider dans vos projets au-delà de la formation
• Valorisation professionnelle : Remise d'un diplôme, d'une attestation et d'une certification, suivant les formations effectuées, que vous pourrez afficher sur vos CV et réseaux sociaux