Rapporto esplicativo

più esauriente nel rapporto del Consiglio federale sulla promozione dell’hackeraggio etico in Svizzera (disponibile in tedesco e francese).¹²

Capoverso 1: Divulgazione coordinata delle vulnerabilità

La divulgazione coordinata delle vulnerabilità è un elemento importante degli sforzi complessivi in materia di cibersicurezza dal momento che permette di analizzare, valutare e colmare potenziali lacune in materia di sicurezza prima che possano essere sfruttate da eventuali aggressori. L’obiettivo del processo di divulgazione coordinata è quello di consentire la maggiore trasparenza possibile in merito alle vulnerabilità senza generare rischi per la sicurezza. L’elemento chiave di questo processo è che dopo aver scoperto una vulnerabilità vengono informati prima di tutto i produttori. Gli hacker concordano con loro un embargo prima del quale non può essere divulgata alcuna informazione sulla vulnerabilità. Ciò dà ai produttori tempo sufficiente per eliminare la vulnerabilità prima che venga resa pubblica. Questo processo è consolidato a livello internazionale e viene sancito anche nell’UE ad esempio dalla direttiva NIS 2 (art. 12 e 13).¹³

Le regole per la divulgazione coordinata delle vulnerabilità sono stabilite nella norma ISO/IEC 29147:2018-10.¹⁴ L’UFCS è tenuto a divulgare le vulnerabilità segnalate conformemente alle regole stabilite nella suddetta norma. Ciò significa che l’UFCS non tiene segreta o non trasmette ad altre autorità alcuna vulnerabilità senza prima informare i produttori. L’UFCS è invece tenuto ad attuare determinate misure attraverso il processo di divulgazione coordinata in modo tale da garantire che la vulnerabilità non possa più essere sfruttata.

Attraverso la cooperazione con servizi specializzati esteri e internazionali l’UFCS può garantire che le vulnerabilità a livello internazionale vengano identificate ed eliminate. Nel settembre 2021 l’UFCS è stato riconosciuto dall’organizzazione statunitense MI-TRE come servizio specializzato in materia di vulnerabilità ed è stato autorizzato ad assegnare alle vulnerabilità scoperte un numero CVE in conformità allo standard «Common Vulnerabilities and Exposure (CVE)» per la loro contrassegnazione e identificazione, in modo che le vulnerabilità note ricevano una designazione univoca. Ciò permette agli esperti in materia di sicurezza, ai produttori, agli utenti e alle autorità di fare riferimento a una determinata vulnerabilità in modo uniforme. L’utilizzo dei numeri CVE consente inoltre di comunicare, documentare ed eliminare in maniera più efficace le lacune in materia di sicurezza. L’utilizzo di uno schema di denominazione standardizzato facilita anche la cooperazione tra i diversi attori nell’ambito della cibersicurezza e contribuisce a migliorare la trasparenza e l’efficacia nel trattamento delle lacune in materia di sicurezza.