CVD Policy: Come Creare una Vulnerability Disclosure Policy Efficace

Ogni giorno, ricercatori di sicurezza trovano vulnerabilità nelle applicazioni e nei prodotti di aziende di ogni settore. Senza una CVD policy chiara, non sanno come segnalarle responsabilmente. Il risultato? O la vulnerabilità rimane senza risposta, o il ricercatore la pubblica senza preavviso.

Una CVD policy ben strutturata protegge sia l'azienda che gli utenti, e costruisce fiducia con la comunità di sicurezza.

Perché hai bisogno di una CVD policy

Per i ricercatori: sanno dove segnalare, cosa aspettarsi, e che non rischiano azioni legali per aver testato responsabilmente.

Per l'azienda: riceve le segnalazioni in modo strutturato, ha tempo per correggere prima della disclosure pubblica, evita sorprese.

Per i clienti: le vulnerabilità vengono corrette più rapidamente e in modo coordinato.

Per la compliance: Cyber Resilience Act, NIS2, ISO 27001 — tutte le normative europee sulla sicurezza incoraggiano o richiedono processi di disclosure strutturati.

Gli elementi di una CVD policy efficace

1. Canali di contatto

Specifica come segnalare:

Email: security@tuaazienda.it
PGP: [link alla chiave pubblica]
Piattaforma: [link a HackerOne/Bugcrowd se applicabile]

La crittografia PGP permette ai ricercatori di inviare dettagli sensibili in modo sicuro.

2. Scope

Definisci cosa rientra nella policy:

In scope: I prodotti, servizi e domini per cui accetti segnalazioni.

Out of scope: Cosa non testare (es. sistemi di terze parti, attacchi fisici, social engineering del personale, test che causano disservizi).

Esempio:

In scope: *.tuaazienda.it, app.tuaazienda.it, API (api.tuaazienda.it) Out of scope: Sistemi di terze parti integrati, infrastruttura dei provider cloud

3. Regole di ingaggio

Specifica cosa il ricercatore può e non può fare:

• Consentito: Test non distruttivi, accesso limitato ai propri account di test
• Non consentito: Accesso a dati di altri utenti, denial of service, modifiche non autorizzate

4. Impegni dell'organizzazione

Sii specifico su cosa ti impegni a fare:

• Risposta iniziale: entro X giorni lavorativi (standard: 5-7 giorni)
• Aggiornamenti: frequenza degli aggiornamenti sullo stato
• Remediation: target di tempistiche per la correzione (es. 90 giorni per criticità alta)
• Riconoscimento: ringraziamento pubblico nel security advisory (se il ricercatore lo desidera)
• Safe harbor: nessuna azione legale per test condotti in buona fede nel rispetto della policy

5. Safe Harbor

Il safe harbor è forse l'elemento più importante per i ricercatori. Dichiari esplicitamente che non intraprenderai azioni legali contro ricercatori che rispettano la policy.

Esempio:

"Tuaazienda si impegna a non intraprendere azioni legali contro ricercatori che segnalano vulnerabilità in buona fede nel rispetto di questa policy e che non causano danni ai nostri sistemi o ai nostri utenti."

6. Processo di disclosure

Specifica le tempistiche concordate:

• L'organizzazione ha X giorni per correggere prima della disclosure pubblica
• Se non viene rispettata la scadenza, il ricercatore può pubblicare (standard: 90 giorni)
• Le vulnerabilità critiche sfruttate attivamente hanno tempistiche accelerate

Template CVD Policy

Ecco un template base da adattare:

Vulnerability Disclosure Policy di [Nome Azienda]

Ultimo aggiornamento: [data]

Siamo impegnati a garantire la sicurezza dei nostri prodotti e servizi.
Se hai trovato una vulnerabilità di sicurezza, ti invitiamo a segnalarla
responsabilmente seguendo questa policy.

COME SEGNALARE
Email: security@azienda.it
PGP: [link]

SCOPE
In scope: [lista prodotti/domini]
Out of scope: [lista esclusioni]

REGOLE DI INGAGGIO
- Testa solo su sistemi che controlli o su cui hai esplicita autorizzazione
- Non accedere o modificare dati di altri utenti
- Non causare interruzioni del servizio
- Non esfiltrare dati oltre il necessario per dimostrare la vulnerabilità

I NOSTRI IMPEGNI
- Confermeremo la ricezione entro 5 giorni lavorativi
- Ti terremo aggiornato sull'avanzamento ogni 30 giorni
- Ci impegniamo a correggere le vulnerabilità critiche entro 90 giorni
- Riconosceremo il tuo contributo nel security advisory (se lo desideri)

SAFE HARBOR
[Nome Azienda] non intraprenderà azioni legali contro ricercatori che
rispettano questa policy in buona fede.

Risorse utili

• disclose.io — template di policy e best practice della community
• CERT/CC Vulnerability Disclosure Policy — framework di riferimento
• ISO/IEC 29147 — standard internazionale per la vulnerability disclosure
• ENISA — linee guida europee per la CVD

Una VDP pubblicata e ben mantenuta è un segnale forte alla comunità di sicurezza: questa azienda prende la sicurezza sul serio. I ricercatori lo noteranno e, più probabilmente, ti segnaleranno le vulnerabilità invece di ignorarle o pubblicarle senza preavviso.