Era febbraio 2023 quando su queste pagine parlammo dell’esigenza, in ambito italiano, di avviare un responsible disclosure di Stato, una cornice normativa chiara che permettesse agli hacker etici di segnalare vulnerabilità senza il timore di incorrere in responsabilità penali.

All’epoca lo CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale ricordò ad un ricercatore di sicurezza che, secondo la normativa vigente, qualsiasi attività di scansione o test invasivo su sistemi informatici è da considerarsi penalmente rilevante se non espressamente autorizzata dal titolare del sistema.

Questa posizione, seppur pienamente conforme al quadro legislativo attuale, stride con la realtà operativa e con la pressione costante esercitata dal panorama delle minacce moderne. Ogni giorno assistiamo a violazioni che colpiscono enti pubblici, aziende e servizi essenziali, rendendo evidente quanto sia rischioso scoraggiare la community hacker dal contribuire con segnalazioni spontanee e di valore.

Il Portogallo in questi giorni ha ampliato il suo quadro giuridico in materia di sicurezza digitale, prevedendo tutele per i professionisti in buona fede che studiano le vulnerabilità nei sistemi informativi.

Questa normativa aggiornata risponde a una richiesta di lunga data del settore, che mira a operare in modo trasparente e senza il rischio di incriminazioni penali per azioni tecniche intraprese nell’interesse della sicurezza informatica.

Le modifiche hanno interessato l’articolo 8.º-A, che ha introdotto una disposizione sull’interesse pubblico al rafforzamento della sicurezza delle infrastrutture digitali. Essa esenta dalla sanzione coloro che accedono a sistemi o dati al solo scopo di identificare vulnerabilità e successivamente notificarle ai responsabili. Le norme sono formulate in modo rigoroso.

Sono consentite azioni volte esclusivamente a scoprire vulnerabilità senza alcun profitto oltre alla ricompensa standard. I problemi rilevati devono essere segnalati tempestivamente al proprietario della risorsa, al responsabile del trattamento dei dati e al National Cybersecurity Center (CNCS).

Il lavoro deve essere limitato a quanto necessario per la diagnostica, senza interferire con i servizi, modificare le informazioni o causare danni. Sono vietati attacchi di tipo Denial of Service, ingegneria sociale, furto di password, modifica dei dati o distribuzione di malware.

Qualsiasi informazione ottenuta deve essere eliminata entro dieci giorni dalla risoluzione del problema. Si precisa espressamente che, con il consenso del proprietario del sistema, eventuali vulnerabilità rilevate devono comunque essere segnalate al CNCS.

Il Paese sta quindi definendo i limiti dei metodi accettabili, fornendo al contempo garanzie legali a coloro che agiscono nell’interesse pubblico. Iniziative simili sono già emerse in Germania, dove il Ministero della Giustizia ha presentato un disegno di legge con disposizioni analoghe, e negli Stati Uniti, dove il Dipartimento di Giustizia ha modificato il proprio approccio all’azione penale ai sensi del CFAA.

Tutte queste misure creano le condizioni in cui i professionisti coscienziosi possono lavorare apertamente sulle vulnerabilità e segnalarle senza timore di conseguenze penali

L'articolo Responsible Disclosure si Stato: il Portogallo avvia questa rivoluzione nella PA proviene da Red Hot Cyber.