L’Agenzia per la cybersicurezza nazionale adotta la nuova politica di divulgazione coordinata delle vulnerabilità. Ricercatori ed esperti potranno segnalare le falle sconosciute nei sistemi digitali, favorendo interventi tempestivi prima che vengano sfruttate dai criminali informatici.

Una collaborazione strutturata tra istituzioni, ricercatori e hacker etici per individuare le vulnerabilità informatiche prima che possano trasformarsi in attacchi. È questo l’obiettivo della nuova Politica nazionale di divulgazione coordinata delle vulnerabilità, adottata dall’Agenzia per la cybersicurezza nazionale (ACN) con una determina del direttore generale Andrea Quacivi.

Il provvedimento, previsto dal decreto legislativo 138 del 2024 che recepisce la direttiva europea NIS2, introduce un meccanismo organizzato per raccogliere, analizzare e gestire le segnalazioni relative alle cosiddette vulnerabilità zero-day, falle di sicurezza non ancora conosciute pubblicamente e per le quali, in molti casi, non esistono soluzioni già disponibili.

La novità è rappresentata soprattutto dal coinvolgimento della comunità digitale. Esperti di sicurezza informatica, ricercatori e hacker etici potranno contribuire all’individuazione delle criticità presenti in software, applicazioni, prodotti e servizi tecnologici, attraverso un percorso istituzionale che punta a favorire la collaborazione con i soggetti responsabili dei sistemi interessati.

Come funziona il nuovo meccanismo

Il sistema, denominato Coordinated Vulnerability Disclosure (CVD), prevede un ruolo centrale per lo CSIRT Italia, la struttura nazionale che si occupa della gestione degli incidenti e delle minacce informatiche.

Chi individua una vulnerabilità potrà segnalarla fornendo le informazioni tecniche necessarie alla valutazione. Lo CSIRT Italia analizzerà la segnalazione e coordinerà il confronto con il produttore o il fornitore del servizio coinvolto, favorendo l’individuazione delle misure correttive.

L’obiettivo è consentire la risoluzione delle criticità prima della loro divulgazione pubblica e, soprattutto, prima che possano essere sfruttate per compromettere sistemi informatici, sottrarre informazioni o interrompere servizi essenziali.

Le segnalazioni potranno avvenire anche in forma anonima, su richiesta, attraverso una piattaforma dedicata che sarà resa disponibile sul sito istituzionale dell’Agenzia.

Una nuova opportunità per la sicurezza di imprese e pubbliche amministrazioni

Il nuovo modello assume particolare rilevanza per un sistema economico e amministrativo sempre più dipendente dalle tecnologie digitali.

Dalle piattaforme cloud ai sistemi di gestione aziendale, dai servizi pubblici digitali alle infrastrutture tecnologiche, l’individuazione tempestiva delle vulnerabilità rappresenta una condizione essenziale per garantire continuità operativa, protezione dei dati e affidabilità dei servizi.

Per le imprese, soprattutto quelle impegnate nei processi di trasformazione digitale, la cybersicurezza non è più soltanto un problema tecnico, ma un elemento strategico della competitività.

La possibilità di rafforzare la collaborazione tra ricercatori, produttori tecnologici e istituzioni contribuisce a sviluppare un approccio fondato sulla prevenzione, riducendo i rischi connessi alla scoperta tardiva delle falle informatiche.

Ricerca etica e rispetto delle regole

L’Agenzia richiama anche un principio fondamentale: le attività di ricerca delle vulnerabilità devono svolgersi nel rispetto della normativa vigente e non possono comportare condotte illecite.

Il nuovo sistema non costituisce quindi un’autorizzazione generalizzata ad accedere a sistemi informatici altrui, ma definisce una procedura per gestire responsabilmente le vulnerabilità individuate.

La Politica nazionale è stata adottata d’intesa con il Ministero della Giustizia, dopo aver sentito il Tavolo per l’attuazione della disciplina NIS.

Dalla risposta agli attacchi alla prevenzione

La nuova iniziativa segna un ulteriore passaggio nell’evoluzione delle politiche nazionali di cybersicurezza: non soltanto intervenire quando un attacco è già avvenuto, ma costruire una rete di collaborazione capace di intercettare le minacce in anticipo.

In uno scenario caratterizzato dalla crescente digitalizzazione delle attività economiche e dei servizi pubblici, la condivisione responsabile delle informazioni sulle vulnerabilità può diventare uno strumento importante per rafforzare la resilienza dell’intero sistema Paese.

La sicurezza digitale, in questa prospettiva, diventa una responsabilità condivisa tra istituzioni, imprese, produttori tecnologici e comunità scientifica.