L’Agenzia per la cybersicurezza nazionale (ACN), in qualità di autorità nazionale competente NIS, ha pubblicato, con determina del Direttore generale Andrea Quacivi, la Politica nazionale di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure – CVD), prevista dal decreto legislativo 4 settembre 2024, n. 138, in attuazione della direttiva NIS2.
La politica definisce un processo strutturato per la segnalazione, l’analisi e la gestione delle vulnerabilità informatiche, comprese le cosiddette zero-day, con l’obiettivo di favorirne la risoluzione prima che possano essere sfruttate per condurre attacchi informatici. L’iniziativa promuove la collaborazione tra istituzioni, produttori, fornitori e comunità digitale, valorizzando il contributo dei ricercatori di sicurezza e degli hacker etici.
Le vulnerabilità zero-day sono falle di sicurezza non ancora note pubblicamente, per le quali potrebbe non essere disponibile una soluzione. Se individuate e sfruttate da attori malevoli, possono mettere a rischio la sicurezza di prodotti, servizi e dei loro utilizzatori.
Nell’ambito della politica CVD, lo CSIRT Italia, struttura operativa dell’ACN, riceve e analizza le segnalazioni e coordina le attività con i produttori e i fornitori interessati. L’obiettivo è individuare le misure correttive e favorire il rilascio tempestivo di aggiornamenti di sicurezza e patch, riducendo i rischi prima della divulgazione pubblica della vulnerabilità.
Come segnalare una vulnerabilità zero-day
La segnalazione può essere effettuata attraverso la piattaforma dedicata dell’ACN, anche in forma anonima su richiesta.
Il processo coinvolge tre soggetti: il segnalante, che comunica la vulnerabilità allo CSIRT Italia fornendo le informazioni tecniche necessarie, anche in forma anonima su richiesta; lo CSIRT Italia, che analizza la segnalazione e coordina le attività con le parti interessate; e il fabbricante o fornitore, che collabora alla valutazione del problema e provvede a individuare le misure correttive e a distribuire gli aggiornamenti di sicurezza necessari.
L’Agenzia richiama inoltre l’attenzione sul rispetto della normativa vigente: le attività di ricerca devono essere condotte nel rispetto della legge e non devono integrare fattispecie di reato.
Con questa iniziativa, l’ACN punta a valorizzare il contributo della ricerca di sicurezza e a promuovere un modello di divulgazione coordinata che consenta di individuare le falle, correggerle tempestivamente e rafforzare la resilienza dell’ecosistema digitale nazionale.
