Cos’è la Politica CVD e perché è fondamentale per la cybersecurity
La “Politica CVD” introduce un processo strutturato per la segnalazione, l’analisi e la gestione delle vulnerabilità informatiche non ancora note pubblicamente, le cosiddette vulnerabilità “zero day”, con l’obiettivo di favorirne la tempestiva individuazione e risoluzione prima che le relative informazioni possano essere divulgate e sfruttate da attori criminali o malevoli.
Con l’adozione della “Politica CVD” ACN apre così alla collaborazione con la comunità digitale e, in particolare, con i ricercatori di sicurezza e gli hacker etici, per riconoscere e valorizzare il contributo di chi, attraverso attività di ricerca e analisi, individua potenziali vulnerabilità nei servizi e nei prodotti ICT.
Le vulnerabilità “zerO day”, infatti, rappresentano una criticità elevata: fino al momento della loro individuazione e gestione non erano conosciute e spesso non lo è, di conseguenza, una soluzione disponibile.
La loro scoperta da parte di attori malevoli può così creare condizioni favorevoli per lo sviluppo di attacchi informatici con potenziali conseguenze per la sicurezza degli utilizzatori dei prodotti o servizi interessati.
Come funziona il processo di Divulgazione Coordinata con CSIRT Italia
Nel quadro della Politica CVD “lo CSIRT Italia (Computer Security Incident Response Team), articolazione operativa dell’ACN, ricevuta la comunicazione, si farà subito carico di svolgere le analisi tecniche per individuare, in condivisione con il fabbricante o il fornitore del servizio o del prodotto viziato dalla vulnerabilità, la soluzione – di solito una “patch” – da introdurre al più presto possibile per risolvere quella specifica minaccia” sottolinea il Direttore Quacivi.
Il processo è finalizzato a mettere il fabbricante o il fornitore nelle condizioni di intervenire nel più breve tempo possibile, anche attraverso il rilascio di aggiornamenti di sicurezza o patch, così da ridurre il rischio per gli utilizzatori prima della divulgazione pubblica delle informazioni relative alla vulnerabilità.
Regole per i ricercatori e invio delle segnalazioni
Il processo di “divulgazione coordinata” coinvolge:
- il segnalante, ossia la persona fisica o giuridica che individua una potenziale vulnerabilità “zero day” e la comunica al CSIRT Italia con le informazioni tecniche necessarie alla sua analisi. La segnalazione può essere fatta, su richiesta, anche in forma anonima;
- lo CSIRT Italia, che riceve e analizza la segnalazione, coordina le comunicazioni tra i soggetti interessati e, in cooperazione con il fabbricante o fornitore, supporta le attività di valutazione, mitigazione e risoluzione della vulnerabilità;
- il fabbricante o fornitore, che collabora con lo CSIRT Italia nell’analisi della vulnerabilità, individua le misure di mitigazione e provvede alla realizzazione e distribuzione degli aggiornamenti risolutivi nei tempi concordati.
La “Politica CVD” richiama l’attenzione dei segnalanti sulla normativa vigente nello svolgimento delle attività di ricerca delle vulnerabilità: vanno condotte nel rispetto della legge e non devono integrare fattispecie di reato.
Le segnalazioni potranno essere trasmesse attraverso un’apposita piattaforma informatica disponibile sul sito istituzionale dell’ACN.
La Politica nazionale di divulgazione coordinata delle vulnerabilità è stata adottata con Determina dell’ACN d’intesa con il Ministero della Giustizia e sentito il Tavolo per l’attuazione della disciplina NIS.
Con l’adozione della Politica CVD, “l’ACN consolida così un modello di collaborazione tra istituzioni, ricercatori di sicurezza e operatori del settore, volto a intercettare tempestivamente le vulnerabilità, favorirne la risoluzione e ridurre il rischio che possano essere sfruttate per finalità malevole, contribuendo al rafforzamento complessivo della resilienza dell’ecosistema digitale nazionale” conclude il Direttore Quacivi.
