Divulgazione delle vulnerabilità
Il processo con cui i ricercatori di sicurezza segnalano le falle a un produttore e il produttore le riconosce, le corregge e le comunica, idealmente secondo una politica pubblicata.
Una politica di divulgazione coordinata delle vulnerabilità (coordinated vulnerability disclosure, CVD) dice ai ricercatori dove inviare una segnalazione, promette una risposta in tempi ragionevoli e si impegna a non intraprendere azioni legali contro la ricerca in buona fede. Il produttore valuta la segnalazione, sviluppa una correzione, la distribuisce attraverso il suo canale di aggiornamento OTA e pubblica un avviso, di solito con un identificatore CVE. Le norme ISO/IEC 29147 e 30111 descrivono il processo.
Per i fornitori IoT non è più facoltativo: ETSI EN 303 645 e il PSTI Act britannico richiedono entrambi un punto di contatto pubblico per segnalare le vulnerabilità. Al di là della conformità, un processo di divulgazione funzionante è il modo in cui un’azienda viene a sapere dei problemi prima che gli attaccanti li sfruttino, mentre un processo ostile garantisce che i ricercatori rendano tutto pubblico.
Parte del Glossario IoT. Hai trovato un errore o manca un termine? Scrivici.