Italiani e CyberSecurity: perché ci ostiniamo a NON collaborare?

Aggiornamento: nov 11

Autore: Massimiliano Brolli

Data Pubblicazione: 10/11/2021

In questo caldo autunno, non passa un giorno che una PA o una grande azienda italiana non venga colpita da un ransomware o da un incidente informatico di varia natura.



Qualche giorno fa un follower della pagina Facebook ha scritto un commento su un post, relativo alla violazione del comune di Perugia dicendo:

"ma perché non condividono mai i vettori di attacco alle infrastrutture, in modo che si possa farne tesoro?".

Di fatto questa domanda, noi della community di RHC ce la stiamo ponendo già da diverso tempo, ma sembra che anche le persone si inizino a domandare come mai non si voglia fare tesoro e condividere le proprie esperienze sugli incidenti di sicurezza informatica, in modo da avvantaggiare altre organizzazioni nella risposta agli incidenti. Il problema infatti, è molto più complesso di quello che sembra.



Analogamente alle vulnerabilità non documentate, gli 0-day, il primo approccio di una azienda che non ha cultura nella cyber security è "chiudersi a riccio". Questo perché avere una CVE pubblicata sul National Vulnerability Database degli Stati Uniti D'America è qualcosa che inorridisce per la propria brand e web reputation.


Successivamente quell'azienda, inizia ad ampliare la sua cultura nella cybersecurity e avvia un programma di Responsible Disclosure e inizia a comprendere che con la collaborazione, in questo caso della community hacker, e la divulgazione delle proprie vulnerabilità verso la community, riesce a mettersi più al sicuro che "chiudendosi a riccio".



Successivamente quell'azienda diventa una CNA (CVE Numbering Authorities, ovvero si mette in condizioni di aprire lei stessa le CVE sui suoi prodotti) e crea una pagina di "hall of f