A partire dal 2019, all’interno della funzione Cyber Security di TIM è stato lanciato il processo di Coordinated Vulnerability Disclosure (CVD), integrato nelle attività di ethical hacking e bug hunting.
Il Coordinated Vulnerability Disclosure rappresenta un approccio etico alla divulgazione delle vulnerabilità zero-day, ossia bug di sicurezza ancora sconosciuti agli sviluppatori e potenzialmente sfruttabili prima del rilascio delle patch dedicate.
Attraverso questo processo, il bug hunter comunica in modo confidenziale le vulnerabilità individuate al vendor, concedendogli il tempo necessario per implementare una patch di sicurezza prima della divulgazione pubblica.
Questo metodo rafforza la risposta collettiva alle minacce informatiche, riducendo il rischio che attori malintenzionati possano sfruttare tali criticità.
In TIM, ci impegniamo costantemente a promuovere la divulgazione responsabile delle vulnerabilità, supportando i vendor nell’identificazione e risoluzione delle minacce emergenti, offrendo numerosi vantaggi, quali:
- Gli amministratori di sistema sono incentivati ad installare tempestivamente le patch di sicurezza una volta resi pubblici i bug;
- I fornitori di soluzioni per la protezione perimetrale possono aggiornare le proprie policy per intercettare e bloccare i nuovi payload malevoli;
- I produttori di strumenti per il Vulnerability Assessment possono aggiornare i loro prodotti per rilevare le nuove vulnerabilità;
- Altri vendor hanno l’opportunità di verificare se la stessa criticità interessa anche i propri prodotti, ad esempio nelle librerie open source.
Questa pagina raccoglie e aggiorna il lavoro di bug hunting svolto da TIM: le vulnerabilità vengono rese pubbliche solo dopo che il vendor ha rilasciato la patch di sicurezza ed ha acconsentito alla divulgazione dei dettagli.
In questo modo, l’approccio adottato contribuisce a creare un ecosistema nazionale ed internazionale più sicuro e collaborativo, dove la condivisione responsabile delle vulnerabilità diventa un pilastro fondamentale e comune nella lotta contro le minacce informatiche.
