Une entreprise étend son programme de surface d'attaque et autorise des individus à tester la sécurité de son application accessible via Internet. L'entreprise rémunérera les chercheurs en fonction des vulnérabilités découvertes. Lequel des éléments suivants décrit le mieux le programme que l'entreprise met en place ?

Un programme de bug bounty (chasse aux bogues) est une initiative où les organisations invitent des chercheurs en sécurité externes à trouver et signaler des vulnérabilités dans leurs systèmes, applications ou sites web, en échange d'une récompense financière. Cela correspond parfaitement à la description de l'entreprise qui rémunère des individus pour tester la sécurité de son application accessible via Internet. Le renseignement de source ouverte (OSINT) est la collecte d'informations à partir de sources publiques, ce qui n'implique pas de tester activement la sécurité. Une équipe rouge (red team) est un groupe interne ou externe qui simule des attaques réelles pour tester la posture de sécurité d'une organisation, mais elle est généralement mandatée pour une période et un périmètre définis, et non pour une récompense par vulnérabilité. Un test d'intrusion est une évaluation de sécurité ciblée et planifiée, souvent réalisée par des professionnels, mais le terme "bug bounty" décrit plus précisément le modèle de rémunération basé sur les vulnérabilités découvertes par une communauté plus large.