Una empresa está expandiendo su programa de superficie de ataque y permitiendo que individuos prueben la seguridad de la aplicación de la empresa expuesta a internet. La empresa compensará a los investigadores en función de las vulnerabilidades descubiertas. ¿Cuál de las siguientes opciones describe mejor el programa que la empresa está configurando?

Un programa de recompensas por errores (bug bounty) es un acuerdo en el que una organización invita a investigadores de seguridad externos a encontrar y reportar vulnerabilidades en sus sistemas o aplicaciones, ofreciendo una recompensa monetaria por cada hallazgo válido. Esto se alinea directamente con la descripción de la empresa que permite a individuos probar la seguridad de su aplicación expuesta a internet y compensarlos por las vulnerabilidades descubiertas. La inteligencia de código abierto (OSINT) implica la recopilación de información de fuentes públicas, no la prueba activa de vulnerabilidades. Un equipo rojo (red team) simula ataques adversarios para probar las defensas de una organización, pero generalmente es un grupo interno o contratado con un alcance y objetivos específicos, no un programa abierto a individuos por recompensa. Las pruebas de penetración son un tipo de evaluación de seguridad realizada por un equipo o individuo, pero un programa de recompensas por errores es un modelo específico y más amplio para incentivar la divulgación de vulnerabilidades por parte de una comunidad más grande.