HackerOne hizo del bug bounty un mercado: reglas, triaje, reputación del investigador y un flujo que las empresas globales ya entienden. Si tu CISO en San Francisco pide “un programa tipo HackerOne”, no está inventando. Está pidiendo cobertura continua, no otro pentest de dos semanas.
El problema es que ese molde no siempre cabe en un equipo de Chile o Latam. No porque HackerOne sea “malo”. Porque está diseñado para otra escala, otro idioma y otro presupuesto de plataforma.
Lo que sí resuelve una plataforma global
Un programa grande tipo HackerOne sirve cuando:
- Tienes superficie pública enorme y quieres volumen de ojos.
- El board ya conoce la marca y eso desbloquea presupuesto.
- Puedes absorber ruido: reportes duplicados, fuera de scope, en inglés, a las 3 a.m. de Santiago.
Ahí el valor es la red. Miles de investigadores, playbooks maduros, integraciones. Lo pagas en fee de plataforma (en el mercado suele irse a dos dígitos sobre cada bounty) y en horas de triaje interno.
Dónde se rompe para un equipo local
En la práctica, lo que vemos en empresas de Chile y Latam es otro cuello:
- Idioma y zona horaria. El hallazgo crítico no espera a que alguien traduzca el reporte a las 9:00. El investigador y el dueño del producto tienen que hablarse en el mismo día.
- Señal versus ruido. Un programa abierto al mundo trae cantidad. Un equipo de 8 personas en ingeniería no tiene cola para 40 “informational”.
- Costo de la mesa. El bounty al investigador es el costo honesto. El fee de la plataforma global, más legal en inglés, más SLA que no calza con ANCI, es el costo escondido.
- Contexto regulatorio. Un canal formal de coordinated disclosure en español, con evidencia de mitigación, es lo que después te piden en due diligence o frente a la Ley 21.663 / ANCI. Un PDF de una plataforma en otro huso no alcanza si nadie del equipo lo operó.
Un pentest sigue siendo la foto con fecha. El bug bounty es lo que pasa entre pentests. Ver pentesting en Chile y Latam si todavía no tienes esa foto.
Cómo lo operamos en oneNorma
Nuestro programa de bug bounty no pretende ser “el HackerOne chileno con un millón de hunters”. Pretende ser usable para un equipo que ya está en producción:
- Investigadores de primer nivel, curados. Reputación verificable, no un ranking abierto al primer script kiddie.
- Operación en español y en zona horaria de Chile y Latam.
- Tú defines scope, severidades y la tabla de recompensas. El investigador recibe el 100% de ese bounty.
- La comisión de oneNorma es el 5% de lo que pagas al investigador. Si la recompensa es 1.000.000, facturamos 50.000. Sin un fee de plataforma de dos dígitos.
HackerOne sigue siendo la referencia de categoría. Nosotros competimos en encaje local: menos teatro de marketplace, más triaje y un pool que tu equipo puede sostener.
Qué significa para tu cumplimiento (Chile)
La Ley marco de ciberseguridad 21.663 y la ANCI empujan a demostrar gestión de vulnerabilidades con evidencia: canal de reporte, triaje, plazo, cierre. Un bug bounty bien corrido es ese canal, no un hashtag de “responsible disclosure” en el footer.
Si el producto trata datos personales, la Ley 21.719 te pide medidas de seguridad. Un investigador que reporta un IDOR en producción es una prueba más dura que un control escrito.
No reemplaza un pentest cuando el contrato o el auditor lo piden por fecha. Lo complementa.
El siguiente paso es la página de bug bounty o agendar una demo. Si todavía no tienes alcance ofensivo de base, empieza por pentesting; el programa de recompensas vive encima, no en el vacío.