Propozycje nagród i głosowanie zespołu

Dlaczego to ważne

Zatwierdzenie nagrody powiadamia badacza i tworzy wpis w księdze finansowej. Warto wcześniej uzgodnić kwotę i zapisać uzasadnienie przy zgłoszeniu, żeby później nie szukać decyzji w rozmowach na Slacku.

Propozycja nagrody pozwala zapisać kwotę przed jej zatwierdzeniem. Zespół zabiera głos, sprzeciwy trafiają do zapisu razem z kwotą alternatywną, a samą kwotę można zmieniać i wycofać aż do chwili, w której administrator ją zatwierdzi. Pozostaje zapis tego, kto co zaproponował, kto się zgodził, kto się sprzeciwił i przy jakiej kwocie.

Propozycje nagród są dołączone do każdej aktywnej subskrypcji Kit, tak jak cała reszta obsługi nagród.

Badacz nigdy nie widzi propozycji

Propozycja jest wewnętrzna i nic z niej nigdy nie dociera do badacza.

Zaproponowanie kwoty, głosowanie nad nią, sprzeciw z niższą liczbą, zmiana propozycji ani jej całkowite wycofanie:

• Nie wysyła badaczowi żadnego e-maila
• Nie tworzy żadnego wpisu w portalu badacza: żadnej karty nagrody, żadnej zmiany statusu, żadnego monitu o dane do wypłaty
• Nie zapisuje niczego w księdze i nie rusza żadnych pieniędzy
• Nie przyznaje żadnej karmy
• Nie zmienia statusu zgłoszenia

Widok badacza zmienia się dopiero wtedy, gdy nagroda zostanie zatwierdzona. Do tego czasu możesz spierać się o kwotę otwarcie, przed własnym zespołem, nie rozbudzając oczekiwań, z których być może trzeba by się wycofać.

Propozycje nie trafiają też do niczego, co udostępniasz poza zespół. Zgłoszenie udostępnione partnerowi nie zawiera żadnych informacji o nagrodzie.

Gdzie znajdziesz propozycje

Zakładka Nagroda na stronie zgłoszenia to miejsce narady. Pojawia się dopiero wtedy, gdy zgłoszenie ma propozycję albo zatwierdzoną nagrodę. Bez propozycji i zatwierdzonej nagrody zakładka pozostaje ukryta. Dopóki ktoś zalega z głosem, zakładka pokazuje licznik.

Krok 4 Nagroda w panelu kroków po prawej stronie zawiera krótkie podsumowanie: proponowaną kwotę, plakietkę Czeka na decyzję i link Przejrzyj i zdecyduj prowadzący do zakładki. Przycisku zatwierdzenia celowo w panelu nie ma. Decyzja powinna zapadać obok materiału dowodowego.

Proponowanie kwoty

Zaproponować może każdy członek zespołu CSIRT, który ma dostęp do zgłoszenia. To nie jest czynność administracyjna: zaproponowanie kwoty jest dokładnie tak samo rutynowe jak zapisanie oceny czy wysłanie wiadomości.

W kroku Nagroda w panelu po prawej wybierz Najpierw zaproponuj zespołowi i podaj:

Pole	Wymagane	Opis
Kwota	Tak	Jaka twoim zdaniem powinna być nagroda. Musi mieścić się w limicie nagrody dla tego zgłoszenia.
Uzasadnienie	Nie, ale je napisz	Dlaczego ta liczba. To właśnie czytają koledzy przed głosowaniem i to zostaje potem w zapisie. Powołaj się na ważność, wpływ, przedział z macierzy.

Zanim zaczniesz, warto znać dwa ograniczenia:

• Zgłoszenie ma najwyżej jedną otwartą propozycję naraz. Kolejna propozycja zastępuje bieżącą (zobacz Zmianę propozycji poniżej).
• W programie z macierzą nagród zgłoszenie musi być najpierw ocenione. Propozycję ogranicza przedział macierzy dla ocenionego poziomu ważności, a zgłoszenie bez oceny nie ma policzalnego limitu. Kit odmawia przyjęcia propozycji, zamiast pozwolić ci podać kwotę, której nigdy nie dałoby się zatwierdzić.

Nie otworzysz propozycji na zgłoszeniu odrzuconym, już opłaconym ani takim, które ma już zatwierdzoną nagrodę.

Głosowanie jest doradcze

Głosowanie pomaga osobie podejmującej decyzję poznać opinię zespołu i zachować ją w dokumentacji. Zebranie głosów samo nie uruchamia wypłaty.

Panel mówi to wprost każdemu, kto może zatwierdzać: Głosowanie nigdy nie blokuje zatwierdzenia. Nie ma kworum ani progu.

Zgoda i sprzeciw

Dwa przyciski: Zgadzam się i Sprzeciw.

Zgoda nie wymaga wyjaśnień. Sprzeciw wymaga kwoty alternatywnej. Musisz powiedzieć, jaka nagroda byłaby twoim zdaniem właściwa, a nie tylko że propozycja jest zła. Możesz też dodać opcjonalny powód.

„Za dużo” ucina rozmowę i nie daje decydentowi nic nowego; „500 $, bo exploit wymaga uwierzytelnionej sesji” daje mu drugą liczbę do rozważenia. Sprzeciw staje się też użytecznym materiałem: Kit pokazuje kwoty alternatywne na wykresie rozkładu i liczy ich medianę, więc decydent od razu widzi, czy zespół skupia się tuż poniżej propozycji, czy jest rozrzucony po całym przedziale.

Kwoty alternatywne obowiązuje ten sam limit co samą propozycję. Nie zgłosisz sprzeciwu z liczbą, której nigdy nie dałoby się zatwierdzić.

Każda osoba ma jeden głos. Ponowne głosowanie zastępuje wcześniejsze stanowisko, zamiast dokładać drugie, a Wycofaj mój głos usuwa je całkowicie.

Wyniki w ciemno i na bieżąco

Kit domyślnie prowadzi głosowanie w ciemno (tryb blind). To, w którym trybie działa program, decyduje o tym, co widzisz, zanim zajmiesz stanowisko.

	W ciemno (domyślnie)	Na bieżąco
Zanim zagłosujesz	Kwota, autor propozycji, uzasadnienie, sugerowany zakres z oceny oraz liczba ukrytych odpowiedzi i osób, które jeszcze nie głosowały. Żadnych stanowisk, nazwisk ani kwot alternatywnych.	Wszystko: pełny wynik głosowania, stanowisko każdej osoby i każda kwota alternatywna.
Po oddaniu głosu	Wszystko.	Wszystko.

Tryb w ciemno pozwala zająć stanowisko przed poznaniem głosów innych osób. Możesz zmienić ten tryb w ustawieniach programu. Gdy ktoś z autorytetem sprzeciwia się przy 500 $ i ta liczba jest widoczna, kolejne cztery głosy mogą być pod jej wpływem.

Kilka szczegółów, które mają znaczenie w praktyce:

• Wysłanie sprzeciwu odsłania wynik głosowania. Formularz sprzeciwu uprzedza o tym przed wysłaniem. Zgoda również go odsłania.
• Wycofanie głosu ponownie ukrywa wynik w panelu. Nie zmienia to faktu, że osoba głosująca mogła już przeczytać opinie zespołu.
• Administratorzy programu widzą wynik bez oddawania głosu, gdy tylko ktoś zagłosował. Mogą wykorzystać opinie zespołu przy zatwierdzaniu nagrody. Przy braku głosów panel pozostaje ukryty.
• Liczba osób, które jeszcze nie zagłosowały, pozostaje widoczna. Licznik na zakładce i panel pokazują w obu trybach, ilu członków zespołu zalega z głosem. To przypomnienie, nie przeciek.
• Te same zasady widoczności obowiązują w pozostałych widokach. Podsumowanie w panelu kroków, oś czasu zgłoszenia, odpowiedzi agenta AI i eksportowane dossier PDF stosują tę samą regułę. Ukrytego wyniku nie da się odczytać, wybierając inną drogę do niego.

Zmiana trybu

Widoczność głosów to ustawienie całego programu, nie pojedynczej propozycji. Znajdziesz je w Ustawienia programu → Macierz nagród, pod poziomami ważności, na tym samym ekranie, na którym ustalasz kwoty, o które toczy się głosowanie. Wybierz W ciemno albo Na bieżąco i zapisz zakładkę; wybór zostaje, a późniejsze zmiany poziomów go nie naruszają.

Tryb możesz też zmienić, prosząc podłączonego asystenta AI o zmianę konfiguracji programu, na przykład „set my VDP program’s bounty vote visibility to live”. Odbywa się to przez narzędzie konfiguracji opisane w Integracji z AI.

Tryb jest odczytywany na żywo, więc dotyczy także propozycji już otwartych. Przełączenie na „Na bieżąco” od razu odsłania każdy bieżący wynik, łącznie z propozycjami otwartymi jeszcze w trybie w ciemno. Powrót do trybu w ciemno ponownie ukrywa wyniki dla osób, które dotąd nie zagłosowały, choć oczywiście nie cofnie tego, co ktoś już przeczytał.

Zmiana propozycji i przejęcie kwoty alternatywnej

Każdy, kto może proponować, może też zmienić otwartą propozycję na inną kwotę (przycisk Zmień). Kit nie otwiera wtedy drugiej propozycji i nie wyrzuca tego, co zespół już powiedział.

Zamiast tego każdy głos oddany przy starej kwocie zostaje oznaczony jako wymagający ponownego głosu. Te głosy zostają na panelu i pokazują, co dana osoba powiedziała i przy jakiej kwocie: „Za przy 500 $ · teraz 1500 $ · wymaga ponownego głosu”. Nic nie znika. Osoby, których głosy straciły ważność, wracają na listę oczekujących, więc panel poprosi je o głos jeszcze raz.

Gdy wynik głosowania jest widoczny, przy każdym sprzeciwie znajduje się przycisk Przejmij, który zmienia propozycję wprost na tę kwotę alternatywną. Po przejęciu stajesz się autorem propozycji i odpowiadasz za proponowaną kwotę. Unieważnia to wszystkie wcześniejsze głosy, dokładnie tak jak każda inna zmiana, a Kit prosi o potwierdzenie, zanim to zrobi.

Dwa inne zakończenia:

• Wycofaj zamyka propozycję bez nagrody. Oddane głosy zostają zachowane; narada po prostu się kończy.
• Zaproponowanie nowej kwoty, gdy jedna jest otwarta, oznacza starą jako zastąpioną, zamiast ją usuwać, i unieważnia jej głosy.

Zamknięte propozycje zostają na zakładce Nagroda wraz z wynikiem i autorem, a każda z nich pojawia się na osi czasu zgłoszenia.

Zatwierdzanie

Zatwierdzenie propozycji to moment, w którym w grę wchodzą pieniądze, więc obowiązuje tu ten sam wymóg uprawnień administratora co przy każdym innym zatwierdzeniu nagrody. Uprawnienia do zatwierdzania pozostają bez zmian.

Przycisk pokazuje zatwierdzaną kwotę (Zatwierdź 1500 $). Kit prosi o potwierdzenie, zanim powiadomi badacza i zapisze kwotę w księdze. Zatwierdzenie rozpoczyna obsługę nagrody; nie oznacza jeszcze zakończonego przelewu. Nagrodę można odwołać, dopóki wypłata nie trwa ani nie została ukończona. Dalej to już zwykłe zatwierdzenie nagrody: wpis w księdze, powiadomienie badacza, karma i proces wypłaty.

Jeśli między załadowaniem strony a kliknięciem zatwierdzenia ktoś zmieni propozycję, Kit odmówi nieaktualnego zatwierdzenia i powie, ile wynosi kwota teraz. Nie zatwierdzi kwoty, której nie było na twoim ekranie.

Ścieżka bezpośrednia nadal istnieje

Nic tego nie blokuje. Zespół może na przykład ustalić, że oczywiste zgłoszenie niskiej ważności za 100 $ nie wymaga narady. Oznacza to jednak, że propozycje są umową, której pilnuje twój zespół, a nie mechanizmem, który Kit wymusza. Jeśli każda nagroda ma przechodzić przez zespół, musi to być zasada, której ludzie przestrzegają, a nie ustawienie do włączenia. To samo dotyczy asystenta AI: narzędzie bezpośredniego zatwierdzania pozostaje dla niego dostępne i nie ogląda się na propozycje.

Praca z asystentem AI

Naradę obsługują dwa narzędzia, oba na poziomie członka zespołu. Może ich użyć asystent każdego członka CSIRT.

Narzędzie	Co robi
csirt_propose_bounty	Zapisuje proponowaną kwotę wraz z uzasadnieniem. Niczego nie zatwierdza i nie wypłaca.
csirt_vote_bounty_proposal	Zapisuje zgodę albo sprzeciw samego użytkownika. Sprzeciw musi zawierać kwotę alternatywną.

Oba stosują zasady widoczności trybu w ciemno. Odpowiedź zwraca propozycję tylko w takiej postaci, w jakiej wolno ją widzieć działającemu użytkownikowi, więc asystent otrzymuje tylko te głosy, które widzi jego użytkownik. Administrator może widzieć wyniki przed własnym głosem, zgodnie z opisanym wyżej wyjątkiem.

Nie ma osobnego narzędzia MCP do przyjęcia propozycji. W interfejsie przyjmiesz ją na zakładce Nagroda. Agent z uprawnieniami administratora może natomiast użyć csirt_approve_bounty, które bezpośrednio zatwierdza nagrodę i zastępuje otwartą propozycję.

Parametry znajdziesz w MCP Tools Reference.

W skrócie

• Ustal z zespołem, kiedy nagroda przechodzi przez propozycję: zawsze, powyżej pewnego progu czy tylko przy spornych zgłoszeniach. Kit tego nie wymusi
• Oceń zgłoszenie przed zaproponowaniem kwoty, żeby dało się policzyć limit z macierzy
• Napisz konkretne uzasadnienie. To nad nim głosuje zespół i to ono zostaje w zapisie
• Sprzeciwiaj się liczbą, nie narzekaniem; to kwota alternatywna czyni sprzeciw użytecznym
• Zostaw głosowanie w ciemno, chyba że zespół chce widzieć pozostałe głosy przed zajęciem stanowiska
• Ustaw tryb raz, w Ustawienia programu → Macierz nagród. Obowiązuje w całym programie i dotyczy także propozycji już otwartych
• Nie czekaj, aż głosy się zgodzą. Nic się nie odblokuje, a administrator i tak musi zatwierdzić
• Po zmianie propozycji zajrzyj na panel jeszcze raz: głosy „wymaga ponownego głosu” oznaczają, że zespół nie wypowiedział się o bieżącej kwocie

Co dalej

• Nagrody i wypłaty: zatwierdzanie, proces wypłat, dokumenty podatkowe i księga finansowa
• Triaż zgłoszeń: tablica, wskaźniki SLA i ocena ważności
• Konfiguracja programu: poziomy macierzy nagród i pozostałe ustawienia programu