Redazione RHC : 21 Agosto 2024 09:41
Il Consiglio della Federazione Russa, l’FSB, il Ministero degli Affari Interni e le società di sicurezza informatica (IS) stanno discutendo la possibilità di creare un registro degli hacker etici e della loro certificazione. Vedomosti ne è stato informato da tre fonti vicine a diverse società di sicurezza informatica. Secondo le loro informazioni, la questione è stata discussa in una riunione a porte chiuse dei rappresentanti del dipartimento all’inizio di agosto.
Artem Sheikin, membro del Comitato per la legislazione costituzionale e la costruzione dello Stato del Consiglio della Federazione, ha confermato che la questione viene considerata come parte del disegno di legge sugli hacker white hat. Nel mese di settembre dovrebbe essere firmata una decisione su questo tema da parte della sezione del Consiglio per lo sviluppo dell’economia digitale della Federazione.
Dall’estate del 2022 si discute della legalizzazione delle attività degli hacker etici che verificano l’affidabilità della protezione della sicurezza delle informazioni dei sistemi IT aziendali e governativi. Poi il Ministero dello Sviluppo Digitale ha iniziato a esplorare la possibilità di introdurre in ambito legale il concetto di bug bounty. Avrebbe dovuto apportare modifiche alla legge “Sulle informazioni, sulle tecnologie dell’informazione e sulla protezione delle informazioni” e all’articolo 272 del codice penale della Federazione Russa “Accesso illegale alle informazioni informatiche”.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Tuttavia, nel 2023, diverse forze dell’ordine si sono opposte alla legalizzazione dell’hacking white hat. Le forze dell’ordine temevano che, se le modifiche fossero state adottate, gli hacker malintenzionati avrebbero iniziato a presentare documenti che confermassero la conclusione di un accordo per testare il sistema informativo per dimostrare la loro innocenza. In questo caso, sarebbe stato più difficile punirli.
Nel dicembre 2023, una versione del disegno di legge elaborata da un gruppo di deputati è stata presentata alla Duma di Stato. Il progetto ha modificato il Codice Civile della Federazione Russa, introducendo i concetti di “white hat hacker” e bug bounty, e ha inoltre stabilito il termine ultimo per notificare all’azienda se viene scoperta una vulnerabilità. Tuttavia il disegno di legge non è ancora arrivato nemmeno in prima lettura alla Duma di Stato.
Attualmente i test di vulnerabilità dell’infrastruttura vengono effettuati in base ad un accordo con il cliente o nell’ambito di un programma bug bounty, le cui regole sono specificate nell’offerta al pubblico. Numerose grandi aziende IT e di sicurezza informatica dispongono di tali programmi. Ad esempio, nel 2023 sono stati effettuati test sui servizi statali, durante i quali sono state scoperte 34 vulnerabilità, la maggior parte delle quali di livello di criticità medio e basso. Il pagamento massimo per un errore riscontrato è stato di 350.000 rubli.
La fonte di Vedomosti in una delle grandi società di sicurezza informatica osserva che le misure proposte per creare un registro e una certificazione dovrebbero garantire il lavoro di bug bounty con infrastrutture significative inclusa l’infrastruttura informatica critica (CII). A suo avviso, ciò legalizzerà molte aree legate alla sicurezza offensiva e preventiva, oltre ad eliminare le aree grigie in cui si trovano attualmente gli hacker etici.
L’interlocutore sottolinea però i punti deboli dell’iniziativa. Nell’attuale situazione geopolitica, un registro accessibile al pubblico degli hacker white hat può diventare un’importante fonte di informazioni per un avversario. Inoltre, i severi requisiti burocratici per entrare a far parte dei ranghi degli hacker white hat per partecipare ai programmi bug bounty possono scoraggiare i potenziali partecipanti. C’è il timore che in questo caso gli hacker vendano le vulnerabilità trovate non alle aziende dietro compenso, ma agli aggressori.
Gli esperti notano inoltre che lo Stato non dispone ancora di strumenti sufficienti per monitorare il rispetto delle norme di certificazione. Secondo loro, è qui che entrano in vigore gli strumenti di mercato. Gli esperti presumono che la comunità sarà contraria alla proposta di regolamento, ma chi vuole lavorare legalmente sarà certificato. La presenza di un certificato può diventare la base affinché aziende e privati accettino la competenza di tali hacker.
Altri esperti dicono che l’idea è mal concepita. Secondo loro, questo porterà al fatto che nessuno vorrà analizzare seriamente la sicurezza del CII e di altri sistemi se ciò richiede l’iscrizione nel registro. Esprimono inoltre preoccupazione per il fatto che i registri in Russia siano spesso soggetti a fughe di informazioni, il che può rappresentare un serio pericolo per i loro iscritti. Si teme che tali specialisti possano essere soggetti a sanzioni personali da parte degli Stati Uniti e di altri paesi e che le loro vite possano essere in pericolo.
RedazioneCisco ha reso note due vulnerabilità critiche che interessano i propri firewall Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD), oltre ad altri prodotti di re...
Il ricercatore Nicholas Zubrisky di Trend Research ha segnalato una vulnerabilità critica nel componente ksmbd del kernel Linux che consente ad aggressori remoti di eseguire codice arbitrario con i m...
Il Dipartimento di Giustizia degli Stati Uniti e la polizia britannica hanno incriminato Talha Jubair, 19 anni, residente nell’East London, che gli investigatori ritengono essere un membro chiave di...
Una vulnerabilità zero-day, monitorata con il CVE-2025-20352, è stata resa pubblica da Cisco nei suoi diffusissimi software IOS e IOS XE; tale vulnerabilità risulta essere sfruttata attivamente. L�...
Gli sviluppatori di Kali Linux hanno rilasciato una nuova release, la 2025.3, che amplia le funzionalità della distribuzione e aggiunge dieci nuovi strumenti di penetration testing. L’aggiornamento...
