Approccio europeo alla Software Vulnerability Disclosure - Gianluca Varisco

Alcuni mesi fa il CEPS (Centre for European Policy Studies, think tank con sede a Bruxelles) ha avviato una Task Force europea sul tema "Software Vulnerability Disclosure" (SVD) a cui hanno preso parte aziende del settore privato, le istituzioni europee e la società civile con l’obiettivo di definire una serie di raccomandazioni di policy per rendere operativo un processo di Coordinated Vulnerability Disclosure (CVD) in Europa. In questa presentazione si è discusso quanto prodotto dal gruppo di lavoro, i prossimi passi che i paesi membri dell'EU dovranno affrontare e le relative scadenze.

Transcript

1. Approccio europeo alla Software Vulnerability Disclosure GIANLUCA VARISCO Team per la Trasformazione Digitale Governo Italiano
2. CHI SONO Good intentions do not work. Mechanisms work.
3. Team per la Trasformazione Digitale
4. Coordinated Vulnerability Disclosure (CVD)
5. A cosa serve? Definisce una modalità per riportare le vulnerabilità, lasciando al ricevente il tempo necessario per individuare e applicare le opportune contromisure, prima di renderle pubbliche.
6. Benefici La tempestività nel risolvere le falle risulta cruciale per ridurre la finestra temporale in cui i software sono esposti a soggetti malevoli.
7. Ruolo del Team Crediamo fermamente nella Coordinated Vulnerability Disclosure (CVD) come uno degli strumenti principali per fare un uso positivo e controllato delle fortissime conoscenze della comunità di ethical hacker italiane e internazionali.
8. È un duro lavoro di squadra
9. CEPS Task Force on «SW Vulnerability Disclosure in Europe»
10. PERCHÉ? I ricercatori di sicurezza nell’Unione Europea necessitano di: • una maggiore chiarezza giuridica • standard consistenti 28 stati membri 28 situazioni disomogenee
11. Esempio: Ungheria
12. Altri esempi
13. Partecipanti
14. Partecipanti
15. Partecipanti
16. ISO/IEC 29147 e ISO/IEC 30111
17. Summary vulnerability disclosure process
18. Vulnerability information exchange
19. Mappatura
20. Proposte
21. CVD Policy European-level framework complemented by national legislation
22. Amending national legislation Member states should amend their national legislation bearing on CVD, using the framework on CVD introduced in the Netherlands as a model.
23. EU Legislation Amending Directive 2013/40/EU on attacks against information systems (the "EU cybercrime Directive") to support CVD
24. EU Legislation Protection of security researchers
25. EU Legislation Incentives for security researchers
26. EU Legislation Cybersecurity Act: ENISA can contribute to the harmonised development of CVD in the EU by having its mandate amended.
27. Report finale previsto per Giugno 2018
28. Grazie! Domande?
29. Seguici su: teamdigitale.governo.it pianotriennale-ict.italia.it @gvarisco, @teamdigitaleIT @gvarisco, @team-per-la-trasformazione-digitale @company/teamdigitale