Cosa sono i programmi di divulgazione delle vulnerabilità?

I programmi di divulgazione delle vulnerabilità (VDP) sono framework o processi strutturati che consentono alle organizzazioni di documentare, inviare e segnalare le vulnerabilità di sicurezza a tutte le altre organizzazioni pertinenti. Essere pronti e in grado di affrontare le vulnerabilità prima che diventino problemi è una parte essenziale di qualsiasi strategia di sicurezza informatica.

Sebbene i VDP non siano attualmente richiesti dalla legge, il governo degli Stati Uniti incoraggia i programmi di divulgazione delle vulnerabilità come approccio proattivo alla sicurezza informatica. Un VDP di successo gestisce i possibili rischi su una superficie di attacco, proteggendo l'organizzazione e i dati dagli incidenti prima che si verifichino.

Scopri come UpGuard aiuta le organizzazioni a rilevare vulnerabilità e rischi >

Che cos'è un programma di divulgazione delle vulnerabilità?

Un sito Web o un'applicazione software può contenere migliaia di righe di codice, che possono includere bug non rilevati internamente, anche attraverso test di routine durante il processo di sviluppo del software. Questo crea potenziali exploit che gli hacker o i criminali informatici possono sfruttare.

Un programma di divulgazione delle vulnerabilità è un processo unificato in cui i ricercatori di sicurezza, gli utenti finali e la più ampia comunità di sicurezza informatica segnalano falle/vulnerabilità di sicurezza nelle risorse di un'azienda accessibili al pubblico e rivolte al web. Questa metodologia include segnalazioni di vulnerabilità inviate volontariamente, classificazione delle vulnerabilità e monitoraggio di qualsiasi processo di correzione.

Quando le vulnerabilità vengono identificate dai ricercatori di sicurezza, l'organizzazione può valutare e correggere tali aree prima che diventino esposizioni. I VDP funzionano come una "rete di sicurezza" o un "programma di controllo del quartiere" che offre all'organizzazione l'opportunità di affrontare le vulnerabilità prima che un attore delle minacce ne tragga vantaggio. Ogni VDP è leggermente diverso e spesso personalizzato in base alle risorse individuali, alle normative o ai requisiti specifici e al profilo di minaccia di un'azienda.

Programmi di divulgazione delle vulnerabilità e programmi di bug bounty

La principale differenza tra i VDP e i programmi di bug bounty è che i VDP non offrono chiari incentivi monetari, ad esempio: "bounty" per le vulnerabilità segnalate. Al contrario, un VDP fornisce semplicemente un canale sicuro per segnalare tali vulnerabilità e qualsiasi segnalazione viene inviata a discrezione di terze parti, come ricercatori di sicurezza, partner, ecc.

È l'equivalente di "vedere qualcosa, dire qualcosa" per le parti esterne. Tuttavia, se un VDP ha successo e offre vantaggi, un'organizzazione può lanciare un programma formale di bug bounty per continuare a rafforzare la propria presenza nella sicurezza. Anche se un'organizzazione utilizza solo un VDP, fornisce comunque un enorme miglioramento della sicurezza.

Perché le aziende hanno bisogno di un programma di divulgazione volontaria?

Nel 2021, la Cybersecurity and Infrastructure Security Agency (CISA) ha emesso una direttiva operativa vincolante (BOD 20-01), che richiede alle agenzie federali di stabilire politiche che consentano al pubblico di contribuire e segnalare le divulgazioni di vulnerabilità. Le vulnerabilità della sicurezza informatica sono inevitabili, quindi essere proattivi in modo aggressivo è fondamentale per proteggere i framework e prevenire le violazioni dei dati. I programmi di divulgazione delle vulnerabilità forniscono un processo per la ricerca, l'identificazione e la correzione attiva delle vulnerabilità, offrendo tranquillità alle parti interessate e ai clienti.

Dimostrare la maturità della sicurezza

Quando un'organizzazione dispone di un VDP unificato, dimostra di impegnarsi a proteggere non solo le proprie risorse digitali e i sistemi informativi, ma anche i dati che può fornire ai clienti. Comprendono che le minacce informatiche sono ampie e in continua evoluzione e che contattare la comunità globale di hacker etici per fornire feedback migliora solo il loro quadro di sicurezza personale. I VDP aiutano anche a creare fiducia dal punto di vista dell'utente finale e degli stakeholder esterni.

Scopri di più sulla gestione delle vulnerabilità >

Formalizzare il feedback e la cooperazione in materia di sicurezza

Un programma di divulgazione delle vulnerabilità fornisce un processo per un coinvolgimento positivo e produttivo con la più ampia comunità di sicurezza informatica. Esiste un processo graduale per condividere e identificare collettivamente le vulnerabilità tra i ricercatori di sicurezza e le organizzazioni, stabilendo una cooperazione tra entrambe le parti. Agendo in buona fede, i ricercatori di sicurezza e gli hacker possono aiutare le organizzazioni a creare le risorse migliori e più sicure accessibili al pubblico e rivolte al Web.

Soddisfa i requisiti di conformità

Sebbene non sia formalmente regolamentato, il governo degli Stati Uniti incoraggia i VDP come una delle migliori pratiche per la strategia e la gestione della sicurezza informatica. Seguendo l'esempio, il NIST e il DOJ raccomandano anche i VDP come misure aggiuntive per monitorare costantemente i rischi e le vulnerabilità in tutte le organizzazioni.

Chi trae vantaggio da un programma di divulgazione delle vulnerabilità?

I VPD forniscono un ulteriore livello di sicurezza informatica identificando le vulnerabilità esistenti e affrontando i rischi prima che tali vulnerabilità si trasformino in problemi. Ma i vantaggi di una VDP completa vanno oltre la prevenzione primaria per varie organizzazioni, la più ampia comunità di sicurezza informatica, gli utenti finali e oltre.

Organizzazioni

La sicurezza informatica è ovviamente una priorità per le organizzazioni, ma i VDP consentono loro di fare un ulteriore passo avanti. I team di sicurezza interni riducono regolarmente i rischi attraverso i protocolli e i test stabiliti, ma hanno un limite. Per bilanciare tempistiche, costi e disponibilità, i team di sicurezza interni non possono fare molto. Un VDP continua a monitorare tale rischio per la sicurezza oltre il tipico ciclo di vita di sviluppo del software standard, evidenziando le vulnerabilità che potrebbero sfuggire alle fessure.

Governi

Molte agenzie governative negli Stati Uniti hanno implementato VDP per identificare le vulnerabilità e risolverle in modo tempestivo. Nel 2016 il Dipartimento della Difesa (DOD) ha condotto un programma pilota chiamato "Hack the Pentagon" che ha permesso a partecipanti qualificati di identificare le vulnerabilità nelle loro pagine web pubbliche. Seguendo l'esempio, altre agenzie federali e agenzie governative hanno fatto lo stesso. La sicurezza informatica è fondamentale per queste superfici rivolte al pubblico, in quanto identifica i problemi prima che si verifichino ed elimina le violazioni dei dati o i potenziali tempi di inattività.

Utenti finali e clienti

Gli utenti finali e i clienti vogliono sempre assicurarsi che le organizzazioni con cui lavorano abbiano solide strategie di sicurezza informatica. Ma spesso, queste strategie possono essere difficili da spiegare a un individuo con una comprensione limitata delle pratiche di sicurezza informatica. Un programma di divulgazione delle vulnerabilità consente alle organizzazioni di mostrare pubblicamente la loro priorità alla sicurezza, in un modo semplice da vedere, comprendere e verificare, il tutto affrontando le vulnerabilità e riducendo i rischi.

Ricercatori di sicurezza

Forse uno dei benefattori più singolari dei VDP sono i ricercatori di sicurezza. Sebbene chiunque possa inviare segnalazioni all'interno di un VDP, questi programmi sono in genere utilizzati da ricercatori di sicurezza qualificati, hacker etici o altre persone in cerca di opportunità per mettere in pratica le proprie abilità.

Queste persone lavorano in buona fede, il che significa che non inviano report per mostrare quante vulnerabilità di sicurezza ha un'organizzazione, ma lavorano insieme per assicurarsi che l'organizzazione rimanga sicura mentre accresce le proprie competenze lungo il percorso. La partecipazione dei ricercatori di sicurezza ruota attorno all'istruzione, alla posizione personale e all'altruismo.

Tipi di politiche di divulgazione delle vulnerabilità

All'inizio di quest'anno, l'amministrazione Biden ha chiesto una divulgazione coordinata delle vulnerabilità in tutti i tipi di tecnologia e settori, concentrandosi sulla raccolta e la condivisione di informazioni sui difetti di software, hardware e sistemi a livello nazionale. Queste divulgazioni differiscono in base al livello di trasparenza coinvolto e spesso considerano anche il modo in cui un'organizzazione gestisce la gestione delle vulnerabilità. La gestione delle vulnerabilità si riferisce a un approccio basato sul rischio che identifica, assegna priorità e corregge le vulnerabilità e gli errori di configurazione. I seguenti tipi di divulgazioni di vulnerabilità sono i più comuni tra i VDP esistenti e possono essere configurati per organizzazioni specifiche in base alle loro esigenze.

Non divulgazione

Le non divulgazioni sono abbastanza semplici. Vietano a un segnalatore o a un ricercatore di sicurezza di divulgare pubblicamente qualsiasi parte della vulnerabilità identificata, anche dopo la correzione. Indipendentemente dalla gravità della constatazione, nessuna vulnerabilità può essere condivisa quando è in vigore un accordo di non divulgazione. Sebbene questi programmi possano accettare le presentazioni, spesso non le incoraggiano.

Informativa coordinata o discrezionale

Le divulgazioni coordinate o discrezionali consentono la divulgazione pubblica di una vulnerabilità. A seconda delle esigenze di sicurezza specifiche di un'organizzazione, può trattarsi di un'informativa completa, parziale o determinata in modo specifico dal caso. Tuttavia, se la vulnerabilità identificata ha un impatto sulla salute e sul benessere umano, potrebbe non essere divulgata pubblicamente. Questo è in genere il caso in cui la divulgazione di una vulnerabilità crea un rischio significativo per i clienti, ad esempio quando si tratta di veicoli, pacemaker o altri dispositivi IoT difficili da richiamare o aggiornare da remoto.

Informative con limiti di tempo

Uno dei tipi più comuni di divulgazione utilizzati nelle VDP è chiamato divulgazione con intervallo di tempo. Il nome deriva dal "timer" impostato per ogni vulnerabilità identificata. In genere, viene stabilito un intervallo di tempo tra la notifica di una vulnerabilità da parte di un'organizzazione e il momento in cui i ricercatori di sicurezza possono divulgare pubblicamente la vulnerabilità. Questo tipo di VDP fornisce all'organizzazione un periodo di tempo per proteggere la vulnerabilità prima che sia pubblica, dimostrando essenzialmente il suo impegno ad affrontare e correggere rapidamente le vulnerabilità critiche.

Divulgazione completa

La piena divulgazione, a differenza di altri approcci, non è in genere una politica del programma. Si tratta di un caso di comunicazione pubblica in cui una vulnerabilità identificata da un individuo viene divulgata pubblicamente prima che sia stata risolta. Potrebbe essere necessaria una divulgazione completa per costringere i proprietari che non rispondono a risolvere le vulnerabilità.

Tuttavia, le divulgazioni dovrebbero sempre proteggere sia il proprietario che premiare chi lo trova, persuadendo la cooperazione futura e migliorando il rapporto tra le organizzazioni e la comunità della sicurezza informatica. Con questo in mente, sia le divulgazioni complete che le non divulgazioni sono rare perché avvantaggiano solo una parte.

Cosa rende un programma di divulgazione delle vulnerabilità di successo?

I programmi di divulgazione delle vulnerabilità, in sostanza, non sono molto complicati. In parole povere, un VDP stabilisce un framework per le parti esterne, come i ricercatori di sicurezza, per segnalare le vulnerabilità e un processo per le organizzazioni interessate per ricevere tali segnalazioni e rimediare a tali vulnerabilità. Tuttavia, ci sono alcuni componenti chiave che costituiscono i VDP di successo, incentrati sia sulle organizzazioni che sui cercatori.

Ambito definito

I VDP dovrebbero identificare chiaramente ai ricercatori l'ambito della politica, inclusi i prodotti, i sistemi, le catene di approvvigionamento e i tipi di vulnerabilità coperti. Dovrebbero essere incluse indicazioni sulle tecniche limitate che possono avere un impatto negativo sulle operazioni di un'organizzazione, come un attacco DDoS (distributed denial-of-service). Questo ambito è flessibile e cambierà naturalmente nel tempo man mano che le risorse e le tecniche di ricerca si evolvono. Quando un'organizzazione stabilisce per la prima volta un VDP, il suo ambito può essere minimo, ma nel tempo tutti i VDP dovrebbero mirare a coprire l'intero ambiente digitale di un'organizzazione.

Processo e aspettative

Analogamente all'ambito, un programma di divulgazione delle vulnerabilità dovrebbe avere un processo dettagliato passo dopo passo che i ricercatori di sicurezza devono seguire. È inoltre essenziale stabilire le aspettative sul tempo necessario all'organizzazione per riconoscere, valutare, valutare, comunicare, comunicare e correggere le vulnerabilità segnalate. Un VDP completo dovrebbe definire chiaramente i processi e le aspettative in anticipo per evitare errori di comunicazione e incomprensioni.

Comunicazione regolare

Le organizzazioni con VDP dovrebbero mirare a mantenere una comunicazione regolare con i ricercatori partecipanti durante tutto il processo di segnalazione delle vulnerabilità. Esempi di ciò includono l'impostazione di tempi ragionevoli per rispondere ai ricercatori di sicurezza o a punti di contatto specifici all'interno di un'organizzazione. Inoltre, prendere in considerazione il riconoscimento per i membri della comunità di ricerca sulla sicurezza che individuano le vulnerabilità, dando credito alle persone che svolgono un ruolo nel mantenere sicura la presenza digitale di un'organizzazione.

Approdo sicuro

Uno dei componenti più interessanti di alcuni programmi di divulgazione delle vulnerabilità è un "porto sicuro", che fornisce una garanzia legalmente vincolante che i ricercatori di sicurezza non devono affrontare azioni legali o sanzioni per la ricerca e l'identificazione delle vulnerabilità in buona fede. Questo è un incentivo significativo per la comunità di ricerca sulla sicurezza, in quanto crea un livello di protezione per i cercatori. Tuttavia, alcune organizzazioni preferiscono non includere appelli sicuri completi, optando invece per accordi che proteggano i ricercatori di sicurezza a meno che non rispettino i termini e l'ambito di un VDP.

Best practice per la gestione di un VDP

Oltre a stabilire un VDP e identificare i componenti chiave, le organizzazioni dovrebbero anche applicare le best practice che consentono al loro programma di vulnerabilità di funzionare senza problemi per se stesse, i loro partner e la comunità globale di ricerca sulla sicurezza.

Allinea le aspettative

La comunicazione è fondamentale quando si impiega e si utilizza un programma di divulgazione delle vulnerabilità. I ricercatori di sicurezza che scelgono di segnalare le vulnerabilità dovrebbero essere in grado di comprendere appieno il processo di un'organizzazione e cosa aspettarsi lungo il percorso.

Fornire una guida legale chiara

Durante il processo VDP, fornisci una guida legale chiara utilizzando termini ed esempi standardizzati. Ad esempio, il Computer Fraud and Abuse Act (CFAA) vieta l'accesso a un computer senza autorizzazione o il superamento dell'accesso autorizzato, quindi molti ricercatori di sicurezza sono riluttanti a testare le risorse in cui non sono presenti VDP robusti. Comunica confini legali chiari per aiutare i ricercatori della sicurezza a comprendere il loro ruolo e le loro protezioni durante il processo VDP.

Interazioni a terra in buona fede

Il lavoro di squadra è fondamentale durante il processo VDP. Sebbene possa sembrare inquietante consentire ai ricercatori di sicurezza e agli hacker etici di individuare le vulnerabilità di un'organizzazione, la motivazione alla base è radicata nell'altruismo e nella protezione delle risorse di un'organizzazione. Con questo in mente, interagisci in buona fede e ricorda che un VDP di successo avvantaggia sia l'organizzazione che i ricercatori di sicurezza.

Focus sulla bonifica

Ricorda che l'intero scopo di un programma di vulnerabilità è migliorare il tuo livello di sicurezza e proteggere meglio i tuoi utenti finali rimuovendo le vulnerabilità. Dai priorità a tale protezione affrontando e risolvendo tempestivamente eventuali vulnerabilità segnalate. In questo modo non solo proteggerai i tuoi utenti finali, ma mostrerai anche come il tuo VDP sta funzionando come previsto.

Risoluzione dei problemi del processo

Indipendentemente da quanto sia organizzato e ponderato un programma di divulgazione delle vulnerabilità, i punti deboli si verificheranno nel tempo, illuminando le aree su cui lavorare. Risolvi i problemi di questo processo nel tempo, risolvendo eventuali punti deboli. Assicurati di includere i ricercatori di sicurezza in questo processo, che possono fornire aree di miglioramento anche da parte loro.

Integrazione nel panorama di sicurezza esistente

Ricorda che anche il programma di divulgazione delle vulnerabilità più solido è solo un pezzo di un panorama di sicurezza informatica più ampio che coinvolge più strumenti e processi progettati per mantenere un'organizzazione al sicuro. Rivedere regolarmente il panorama della sicurezza esistente, implementando nuove best practice

Conosci i tuoi limiti

Non tutte le organizzazioni potrebbero sentirsi pronte a creare e implementare un programma di divulgazione delle vulnerabilità. Sebbene utili, possono sembrare opprimenti per un'organizzazione che ha appena iniziato a costruire il proprio ecosistema di sicurezza informatica. Comunica internamente per identificare le best practice e gli strumenti appropriati per le esigenze specifiche della tua organizzazione o prendi in considerazione la possibilità di collaborare con un team di fornitori VDP per l'implementazione di base.

Utilizzo dei programmi di divulgazione delle vulnerabilità come strumento di sicurezza informatica

Noti anche come divulgazioni coordinate o responsabili, i programmi di divulgazione delle vulnerabilità forniscono un framework per i ricercatori di sicurezza per segnalare problemi di sicurezza, vulnerabilità o bug a un'organizzazione. Queste vulnerabilità possono quindi essere affrontate e risolte da un'organizzazione, creando una presenza digitale più sicura e protetta.

I VDP sono solo uno dei tanti strumenti di costruzione nella cassetta degli attrezzi della sicurezza informatica di un'organizzazione. Il miglior tipo di cassetta degli attrezzi è quello con molti strumenti diversi in grado di risolvere una varietà di problemi. L'approccio della tua organizzazione alla gestione del rischio informatico dovrebbe essere simile, con una serie diversificata di strumenti in grado di identificare, affrontare e prevenire future vulnerabilità, violazioni o infiltrazioni. Prendi in considerazione l'aggiunta di un programma di discussione sulla vulnerabilità alla cassetta degli attrezzi di base della sicurezza informatica della tua organizzazione per migliorare la sicurezza dei dati e proteggere gli utenti finali.