Un Bug Bounty di Stato proposto nella Federazione Russa. Grandi opportunità e nuovi rischi

Redazione RHC : 21 Agosto 2024 09:41

Il Consiglio della Federazione Russa, l’FSB, il Ministero degli Affari Interni e le società di sicurezza informatica (IS) stanno discutendo la possibilità di creare un registro degli hacker etici e della loro certificazione. Vedomosti ne è stato informato da tre fonti vicine a diverse società di sicurezza informatica. Secondo le loro informazioni, la questione è stata discussa in una riunione a porte chiuse dei rappresentanti del dipartimento all’inizio di agosto.

Artem Sheikin, membro del Comitato per la legislazione costituzionale e la costruzione dello Stato del Consiglio della Federazione, ha confermato che la questione viene considerata come parte del disegno di legge sugli hacker white hat. Nel mese di settembre dovrebbe essere firmata una decisione su questo tema da parte della sezione del Consiglio per lo sviluppo dell’economia digitale della Federazione.

Dall’estate del 2022 si discute della legalizzazione delle attività degli hacker etici che verificano l’affidabilità della protezione della sicurezza delle informazioni dei sistemi IT aziendali e governativi. Poi il Ministero dello Sviluppo Digitale ha iniziato a esplorare la possibilità di introdurre in ambito legale il concetto di bug bounty. Avrebbe dovuto apportare modifiche alla legge “Sulle informazioni, sulle tecnologie dell’informazione e sulla protezione delle informazioni” e all’articolo 272 del codice penale della Federazione Russa “Accesso illegale alle informazioni informatiche”.

CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?  Conosci il nostro corso sul cybersecurity awareness a fumetti?  Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.  Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Tuttavia, nel 2023, diverse forze dell’ordine si sono opposte alla legalizzazione dell’hacking white hat. Le forze dell’ordine temevano che, se le modifiche fossero state adottate, gli hacker malintenzionati avrebbero iniziato a presentare documenti che confermassero la conclusione di un accordo per testare il sistema informativo per dimostrare la loro innocenza. In questo caso, sarebbe stato più difficile punirli.

Nel dicembre 2023, una versione del disegno di legge elaborata da un gruppo di deputati è stata presentata alla Duma di Stato. Il progetto ha modificato il Codice Civile della Federazione Russa, introducendo i concetti di “white hat hacker” e bug bounty, e ha inoltre stabilito il termine ultimo per notificare all’azienda se viene scoperta una vulnerabilità. Tuttavia il disegno di legge non è ancora arrivato nemmeno in prima lettura alla Duma di Stato.

Attualmente i test di vulnerabilità dell’infrastruttura vengono effettuati in base ad un accordo con il cliente o nell’ambito di un programma bug bounty, le cui regole sono specificate nell’offerta al pubblico. Numerose grandi aziende IT e di sicurezza informatica dispongono di tali programmi. Ad esempio, nel 2023 sono stati effettuati test sui servizi statali, durante i quali sono state scoperte 34 vulnerabilità, la maggior parte delle quali di livello di criticità medio e basso. Il pagamento massimo per un errore riscontrato è stato di 350.000 rubli.

La fonte di Vedomosti in una delle grandi società di sicurezza informatica osserva che le misure proposte per creare un registro e una certificazione dovrebbero garantire il lavoro di bug bounty con infrastrutture significative inclusa l’infrastruttura informatica critica (CII). A suo avviso, ciò legalizzerà molte aree legate alla sicurezza offensiva e preventiva, oltre ad eliminare le aree grigie in cui si trovano attualmente gli hacker etici.

L’interlocutore sottolinea però i punti deboli dell’iniziativa. Nell’attuale situazione geopolitica, un registro accessibile al pubblico degli hacker white hat può diventare un’importante fonte di informazioni per un avversario. Inoltre, i severi requisiti burocratici per entrare a far parte dei ranghi degli hacker white hat per partecipare ai programmi bug bounty possono scoraggiare i potenziali partecipanti. C’è il timore che in questo caso gli hacker vendano le vulnerabilità trovate non alle aziende dietro compenso, ma agli aggressori.

Gli esperti notano inoltre che lo Stato non dispone ancora di strumenti sufficienti per monitorare il rispetto delle norme di certificazione. Secondo loro, è qui che entrano in vigore gli strumenti di mercato. Gli esperti presumono che la comunità sarà contraria alla proposta di regolamento, ma chi vuole lavorare legalmente sarà certificato. La presenza di un certificato può diventare la base affinché aziende e privati ​​accettino la competenza di tali hacker.

Altri esperti dicono che l’idea è mal concepita. Secondo loro, questo porterà al fatto che nessuno vorrà analizzare seriamente la sicurezza del CII e di altri sistemi se ciò richiede l’iscrizione nel registro. Esprimono inoltre preoccupazione per il fatto che i registri in Russia siano spesso soggetti a fughe di informazioni, il che può rappresentare un serio pericolo per i loro iscritti. Si teme che tali specialisti possano essere soggetti a sanzioni personali da parte degli Stati Uniti e di altri paesi e che le loro vite possano essere in pericolo.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli