Rapporto esplicativo

Art. 12 Modalità di pubblicazione

Cpv. 1: i documenti devono essere pubblicati su piattaforme correnti. I file devono essere organizzati tenendo conto dell’ampiezza e della complessità della prassi corrente.

Cpv. 2: i documenti pubblicati devono poter essere ottenuti in modo anonimo e il proprietario del codice sorgente non deve invitare le persone interessate a registrarsi per ricevere i documenti. Se una persona ha diritto a una remunerazione conformemente all’articolo 13 AP-OVE, il proprietario può richiedere le informazioni necessarie per il versamento. Si ritiene opportuno provvedere alla pubblicazione almeno sei mesi prima dell’impiego del sistema, in modo da consentire una verifica efficace da parte del pubblico.

Cpv. 3: lo scambio con altre persone e la citazione di informazioni pubblicate devono essere possibili, in particolare per facilitare la ricerca di lacune da parte degli specialisti.

Cpv. 4: al fine di garantire una divulgazione responsabile (responsible disclosure) il proprietario può intimare alle persone interessate del pubblico di rispettare le regole seguenti:

- segnalare immediatamente lacune al proprietario;

- rispettare un dato termine prima di segnalare pubblicamente una lacuna;

- adottare un approccio responsabile riguardo alle informazioni concernenti lacune presunte. Non si

diffondono inutilmente informazioni su potenziali falle nella sicurezza. Le informazioni sono condivise e discusse soltanto con persone che si suppone siano in grado e disposte a trattare la questione e adottino anch’esse un approccio responsabile.

Cpv. 5: il proprietario può perseguire violazioni delle condizioni di utilizzo soltanto in casi eccezionali. Nelle condizioni di utilizzo deve attirare l’attenzione dei partecipanti sulla limitazione o sull’esclusione della responsabilità. Si rinuncia a richiedere una dichiarazione d’intenti ai partecipanti.

Art. 13 Coinvolgimento del pubblico

Il presente articolo disciplina i principi di un programma bug bounty, una misura introdotta per attuare l’articolo 27m capoverso 1 AP-ODP. Per quanto possibile i Cantoni devono adottare ulteriori misure per definire incentivi sia finanziari che di altro genere.

Cpv. 1: in linea di principio i Cantoni provvedono affinché le persone interessate del pubblico possano trasmettere segnalazioni volte a migliorare il sistema (programma bug bounty). Il programma bug bounty dovrà essere avviato per tempo prima che sia presentata al Consiglio federale una domanda definitiva per l’autorizzazione di principio. È ritenuto ragionevole un termine di circa sei mesi prima dell’impiego previsto. Il programma bug bounty prevede un programma permanente per la ricerca di errori (lett. a) e un test Internet ricorrente (lett. b).

Cpv. 1 lett. a: ricerca di errori nella documentazione o nel codice sorgente pubblicati e ricerca di errori mediante l’analisi del sistema operativo nella propria infrastruttura. Questo programma per la ricerca di errori funziona ininterrottamente.

Cpv. 1 lett. b: lo scopo di questo cosiddetto test Internet è esclusivamente quello di penetrare nell’infrastruttura. Gli attacchi di negazione del servizio (denial of service) e gli attacchi di ingegneria sociale (social engineering) possono essere esclusi dal programma bug bounty. Il test Internet può essere attuato come programma permanente o come test ricorrente di durata limitata.

La partecipazione al programma bug bounty è disciplinata dall’articolo 12 AP-OVE.

Cpv. 2: l’organo designato per gestire il programma bug bounty può essere il gestore del sistema o un’impresa esterna. Quest’organo permette l’attuazione del programma, riceve le segnalazioni e assicura la comunicazione con la persona che ha effettuato la segnalazione. Esso deve essere informato sulle decisioni in merito alla segnalazione e sulle eventuali misure.

Inoltre, dovranno essere pubblicate le informazioni sulle segnalazioni ricevute. Le informazioni da pubblicare sono le seguenti: informazioni sul contenuto della segnalazione, fonte della segnalazione (sempre che la persona o l’istituzione che l’ha fatta acconsenta), valutazione da parte dell’organo responsabile del programma bug bounty e informazioni su misure eventualmente adottate sulla base della segnalazione.