Al CSIRT Italia viene riconosciuto il ruolo di attore che agisce come intermediario di fiducia tra la persona fisica o giuridica e il fabbricante o fornitore di servizi potenzialmente vulnerabili.

Il decreto legislativo del 4 settembre 2024, n. 138 (decreto NIS) riconosce e attribuisce al CSIRT Italia il ruolo di coordinatore ai fini della divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure o CVD). La Politica di Divulgazione Coordinata delle Vulnerabilità si applica soltanto nei confronti di vulnerabilità non ancora note che gli attori malevoli possono sfruttare. In particolare, contro il servizio o il prodotto di riferimento.

Da qui il nuovo incarico per il Computer Security Incident Response Team Italia, la squadra nazionale dell’Agenzia per la cybersicurezza nazionale che si occupa di prevenire, monitorare e gestire gli incidenti di sicurezza informatica.

Il decreto gli riconosce la qualifica di “intermediario di fiducia“. Agevolerà, se necessario, l’interazione tra la persona fisica o giuridica che segnala la vulnerabilità (c.d. “Segnalante”) ed il Fabbricante o Fornitore di servizi TIC o prodotti TIC potenzialmente vulnerabili.

I compiti del CSIRT Italia

La divulgazione coordinata delle vulnerabilità è gestita in linea con quanto definito nella Politica CVD adottata con Determina dell’ACN, in qualità di autorità nazionale competente NIS, di intesa con il Ministero della giustizia e sentito il Tavolo per l’attuazione della disciplina NIS. 

In tale veste, sottolinea l’ACN, il CSIRT Italia, ai sensi dell’art. 16, commi 2 e 3, del citato decreto, ha ottenuto il riconoscimento di diversi compiti. In particolare, di:

• individuare e tenere i contatti con i soggetti interessati.
• Fornire assistenza alle persone fisiche e giuridiche che segnalano una vulnerabilità.
• negoziare i tempi di divulgazione e la gestione delle vulnerabilità che interessano più soggetti.
• garantire lo svolgimento di diligenti azioni per dare seguito alla segnalazione di vulnerabilità.
• assicurare l’anonimato della persona fisica o giuridica segnalante, qualora lo richieda.
• cooperare, ove opportuno, se la vulnerabilità segnalata è suscettibile di avere un impatto significativo su soggetti in più di uno Stato membro. Questo, con gli altri CSIRT designati in qualità di coordinatori nell’ambito della rete degli CSIRT nazionali (CSIRT Network).

L’applicazione della Politica

La Politica, ribadisce l’Agenzia, si applica solo ed esclusivamente nel caso di scoperta di vulnerabilità di sicurezza non ancora pubblicamente note (c.d. vulnerabilità “zero day”).

Queste vulnerabilità potrebbero essere sfruttate da attori malevoli, a danno degli utilizzatori del servizio o prodotto. Le restanti vulnerabilità, al di fuori del suddetto caso, non rientrano nell’ambito di applicazione della presente Politica.

Seguici anche sul nostro canale WhatsApp

Vai al sito di Cybersecurity Italia.

L'articolo ACN, il CSIRT Italia riconosciuto coordinatore ai fini della divulgazione coordinata delle vulnerabilità  sembra essere il primo su CyberSecurity Italia.