Esperti: i requisiti di divulgazione delle vulnerabilità previsti dal Cyber ​​Resilience Act dell'UE sollevano segnali d'allarme

Esperti: i requisiti di divulgazione delle vulnerabilità previsti dal Cyber ​​Resilience Act dell'UE sollevano segnali d'allarme

Timestamp: 4 ottobre 2023 12:08

Tyler Croce Tyler Croce
Pubblicato il: Ottobre 4, 2023 Esperti: i requisiti di divulgazione delle vulnerabilità previsti dal Cyber ​​Resilience Act dell'UE sollevano segnali d'allarme

Le leggi sulla divulgazione delle vulnerabilità proposte dal Cyber ​​Resilience Act (CRA) dell'UE hanno suscitato serie preoccupazioni tra gli esperti di sicurezza informatica di tutto il mondo.

La legge stabilisce essenzialmente che le aziende avranno 24 ore per rivelare gli exploit nelle vulnerabilità alle agenzie governative.

Decine di esperti e leader di sicurezza informatica globale si sono riuniti per scrivere una breve ma potente lettera aperta all’UE spiegando che, anche se il disegno di legge ha buone intenzioni, crea una serie di nuovi problemi.

Tra i firmatari della lettera aperta ci sono grandi aziende come Google, Trend Micro, Eset, Immuniweb, TomTom. Ancora più impressionante, è stato firmato da figure importanti come Toomas Hendrik Ilves, ex presidente della Repubblica di Estonia, e Sergio Caltagirone, presidente della Threat Intelligence Academy.

La lettera è stata indirizzata a Thierry Breton, Commissario per il mercato interno della Commissione europea, a Carme Artigas Brugal, Segretario di Stato per la digitalizzazione e l'intelligenza artificiale e a Nicola Danti, relatore per il Cybersecurity Resilience Act, Parlamento europeo.

"Anche se apprezziamo l'obiettivo della CRA di migliorare la sicurezza informatica in Europa e oltre", si legge nella lettera. “Riteniamo che le attuali disposizioni sulla divulgazione delle vulnerabilità siano controproducenti e creeranno nuove minacce”.

Sono stati evidenziati tre problemi fondamentali riguardo alle leggi sulla divulgazione delle vulnerabilità. Le nuove leggi sono mature per un uso improprio da parte delle agenzie di intelligence e per scopi di sorveglianza. Anche la rivelazione delle vulnerabilità entro 24 ore offre un vantaggio ai criminali.

“Anche la conoscenza dell'esistenza di una vulnerabilità è sufficiente per una persona abile

ricostruirlo”, scrivono.

Può anche incoraggiare le aziende a dedicare meno risorse ai ricercatori sulla sicurezza informatica, dato che le aziende dovrebbero segnalare ogni vulnerabilità rilevata durante i test. Gli autori temono che i ricercatori in buona fede verranno pesantemente puniti.

Gli autori aggiungono che ritengono che nessuna agenzia dovrebbe condividere i rapporti sulle vulnerabilità con le agenzie di intelligence e richiedere la divulgazione delle vulnerabilità mitigabili entro 72 ore. Ritengono inoltre che le vulnerabilità rilevate attraverso ricerche in buona fede non dovrebbero essere soggette a divulgazione.

Timestamp:

Di più da Detective della sicurezza