Devi tenere a mente siti come Google, Yahoo, Amazon hanno un paio (di migliaia) di server. Possono permettersi di "aprire le porte" a tutti perché, come ha sottolineato M15K, le loro risorse non sono limitate.
Ci sono un paio di motivi per cui potrebbero essere "aperti":
1. È possibile raccogliere statistiche sul rendimento.
2. È possibile testare il sistema per la stabilità (se il server X si arresta, il server Y deve subentrare, ecc.)
3. Probabilmente molte altre ragioni a cui non riesco a pensare.
Nelle piccole / medie / grandi aziende di solito finisci per usare server Linux / Unix, Apache, Nginx, LigHTTP, Jetty, MySQL, PostgreSQL, Oracle ed ecc. Siti come Google (gigante) creano la loro piattaforma e il loro software soluzioni - server web, database, server di inoltro proxy ed ecc. Quindi lasciare "la porta aperta" al pubblico li aiuta effettivamente a migliorare costantemente la sicurezza e le piattaforme perché ogni "hacker" del mondo cercherà di abbatterli. Alcuni di loro avranno successo e di solito finiscono per lavorare per l'azienda o ricevere un numero soddisfacente nei loro conti bancari:)
Secondo me non è sicuro per te "aprire" tutto se la società per cui lavori non sta creando la maggior parte delle soluzioni software da zero (server web, database e qualsiasi altra cosa la tua azienda abbia bisogno). Anche in questo caso è un po 'rischioso soprattutto se gestisci dati sensibili.
i.e. could publishing such a statement put your site at more risk than leaving it out?
Non importa se dici "Non ti denunceremo se ci dirai dove si trova la violazione".
Se qualcuno vuole hackerarti, proverà a farlo se la dichiarazione è presente o meno. Ma se è lì potrebbe sembrare che tu li stia invitando. Quindi probabilmente avrai più hacker che tentano di hackerare il tuo server.
However, what measures should a site already have in place before embarking on such seemingly risky endeavor?
Dovrai trovare un meccanismo di registrazione o monitorare le azioni che vengono fatte sul sito e sul server. Anche un backup completo del sito / server è un must.
In generale non consiglierei di lasciare il server "aperto", specialmente se gestisce informazioni sensibili come carte di credito, pagamenti, informazioni mediche per i pazienti e così via. È meglio per te assumere un gruppo di hacker con un contratto adeguato. Altrimenti rischi di mettere tutte queste informazioni in pubblico.
Non posso entrare più nel dettaglio in quanto questo argomento è ENORME e ci sono molte cose che devi considerare prima di passare a "pubblico":
- Hai i soldi per farlo?
- Hai le risorse? (server, team di sicurezza e così via)
- Fino a che punto puoi limitare i danni che un hacker può arrecare al tuo sistema? OSSIA Se un hacker accede al tuo server, quale accesso avrà? Sarà in grado di connettersi al database e recuperare / memorizzare / aggiornare i dati? I tuoi dati sono criptati? Sarà in grado di decifrarlo? (e così via)
- Il tuo team di sicurezza può scoprire in che modo un hacker ha sfruttato il tuo sistema?
- Il tuo team di sicurezza ha le competenze per risolvere i problemi che potrebbero verificarsi?
- Probabilmente molte altre domande che devi chiedere e rispondere prima di decidere.