Segnalazione di una falla di sicurezza (Coordinated Vulnerability Disclosure, CVD)
Avete scoperto una falla di sicurezza in un sistema informatico oppure in un’applicazione, un software o un hardware in commercio e volete segnalarla? La prima cosa da fare è informare direttamente il venditore o il proprietario del sistema. Tuttavia, se le organizzazioni non rispondono o la risposta non è soddisfacente, il Centro nazionale per la cibersicurezza (NCSC) può fungere da intermediario per risolvere tali problemi relativi alla sicurezza informatica.
Ci sono diversi modi per segnalare una falla di sicurezza (o vulnerabilità).
Risorse della Confederazione
Le falle di sicurezza tecniche in sistemi informatici, applicazioni o un hardware della Confederazione possono essere segnalate all’NCSC tramite l’apposito modulo sotto riportato. Siete pregati di seguire la procedura standard di segnalazione di una falla.
Per le vulnerabilità di sicurezza nel certificato COVID o nello «SwissCovid Proximity Tracing System», siete pregati di usare il modulo di segnalazione ad hoc.
Le falle di sicurezza in sistemi o prodotti informatici che non appartengono alla Confederazione ma che hanno ripercussioni sul Paese devono sempre essere segnalate in primo luogo al proprietario del sistema o al fornitore del prodotto. È necessario rivolgersi all’NCSC solamente se l’organizzazione non reagisce in modo adeguato. In tal caso, l’NCSC fungerà da intermediario e segnalerà nuovamente all’organizzazione interessata la falla di sicurezza individuata.
Pubblicazione delle CVE («common vulnerability and exposure»)
Se avete scoperto una vulnerabilità in applicazioni, software o hardware utilizzati da imprese svizzere, l’NCSC può coordinarne la pubblicazione quale servizio autorizzato ad assegnare numeri CVE .
Come potete segnalarci una CVD?
Compilate il modulo sotto riportato indicando i dettagli della falla di sicurezza individuata. Inserite la chiave pubblica PGP in modo da garantire una comunicazione tempestiva e sicura con l’NCSC.
Fornite il maggior numero di informazioni possibile affinché la falla possa essere riprodotta. Ciò permette di accelerare il processo di risoluzione del problema.
Nel caso di falle più complesse probabilmente dovremo contattarvi direttamente, perciò indicate almeno un indirizzo e-mail o un numero di telefono.
Per comunicare in forma criptata potete utilizzare la chiave PGP «vulnerability [at] ncsc.ch».
