Продажа информации об уязвимости работодателю

Ваш вопрос касается обнаружения уязвимости в приложении компании и возможности получения вознаграждения за её раскрытие. Однако «продажа» информации руководству может быть расценена как попытка шантажа (вымогательство) или незаконное получение выгоды, особенно если вы как работник уже имеете доступ к этой информации в силу своих должностных обязанностей. Такие действия могут нарушать трудовой договор, правила внутреннего распорядка и коммерческую тайну, а также подпадать под статью 183 УК РФ (незаконные получение и разглашение сведений, составляющих коммерческую тайну).

Рекомендуемый порядок действий:

1. Ознакомьтесь с политикой компании в области информационной безопасности – возможно, у неё есть программа поощрения за обнаружение уязвимостей (bug bounty).

2. Если такой программы нет, сообщите об уязвимости своему непосредственному руководителю, в отдел информационной безопасности или через официальную форму инцидентов. Сделайте это в письменном виде (например, email с уведомлением о вручении) для фиксации факта сообщения.

3. Не выдвигайте требований о выплате в обмен на неразглашение – это может быть квалифицировано как вымогательство (ст. 163 УК РФ) со всеми вытекающими последствиями.

4. Если после сообщения руководство отказывается устранять уязвимость или не реагирует, вы можете обратиться к юристу для оценки ситуации, но воздержитесь от публичного раскрытия или передачи информации третьим лицам.

Резюме: продажа информации об уязвимости компании, где вы работаете, юридически рискованна и может повлечь уголовную или дисциплинарную ответственность. Гораздо безопаснее действовать в рамках корпоративной политики, сообщив о проблеме через официальные каналы и обсудив возможность вознаграждения в случае наличия bug bounty. Если у вас есть похожий вопрос, вы можете задать его в форме ниже.