Programma di divulgazione delle vulnerabilità (VDP)
Un canale pubblico e un processo funzionante per le segnalazioni di vulnerabilità provenienti dall’esterno: politica, security.txt, ricezione, triage e divulgazione coordinata.
Prima o poi qualcuno esterno all’azienda trova una vulnerabilità nel tuo prodotto. Che cosa succede dopo dipende dal fatto che trovi un indirizzo a cui scrivere e che qualcuno risponda. Dove non c’è un canale, la segnalazione finisce nella casella dell’assistenza clienti, sui social media o da nessuna parte.
Un programma di divulgazione è il minimo: una politica pubblicata che spiega come segnalare e che cosa può aspettarsi chi segnala, una casella di posta che qualcuno legge e un processo che porta una segnalazione dalla ricezione alla correzione. Non paga ricompense e non richiede una piattaforma. Il Cyber Resilience Act dell’UE rende obbligatoria una politica di divulgazione coordinata per i fabbricanti di prodotti con elementi digitali: la segnalazione delle vulnerabilità attivamente sfruttate si applica dall’11 settembre 2026, l’insieme completo degli obblighi dall’11 dicembre 2027.
01Perimetro
Che cosa testiamo
Politica di divulgazione: perimetro, regole, safe harbor, tempi della divulgazione
security.txt secondo RFC 9116, con monitoraggio della data di scadenza
Canale di ricezione: casella dedicata o modulo, chiave di cifratura, conferma di ricezione
Procedura di triage: riproduzione, valutazione della gravità, deduplicazione
Gestione interna secondo ISO/IEC 30111: responsabilità, scadenze, escalation
Comunicazione con chi segnala e pubblicazione coordinata
Bollettini di sicurezza e identificativi CVE per le vulnerabilità dei tuoi prodotti
Obblighi di notifica ai sensi del Cyber Resilience Act e della NIS2, dove si applicano
02Approccio
Come si svolge il lavoro
01
Politica
Redigiamo la politica con il tuo ufficio legale. La formulazione del safe harbor segue il testo che la comunità dei ricercatori riconosce, adattato alla tua giurisdizione dai tuoi legali.
02
Canale
Il canale di ricezione e il file security.txt vengono configurati e testati dall’esterno, così come li troverebbe un ricercatore.
03
Processo
Ruoli, scadenze ed escalation vengono messi per iscritto e provati su una segnalazione di test prima che la politica venga pubblicata.
04
Gestione
Se lo desideri, gestiamo noi la ricezione: confermiamo la ricezione, riproduciamo, valutiamo e passiamo le segnalazioni confermate al tuo team tecnico.
Qualcuno ci ha inviato la segnalazione di una vulnerabilità e chiede denaro. Che cosa facciamo?
Non pagare sotto pressione e non minacciare. Conferma la ricezione, chiedi i dettagli tecnici e verifica quanto affermato. La maggior parte delle segnalazioni non richieste arriva da ricercatori in buona fede, alcune sono rumore automatizzato, poche sono estorsioni. Verifichiamo la segnalazione, ne valutiamo la gravità e ti aiutiamo a rispondere: richiedilo tramite il modulo di questo sito e indica che c’è una segnalazione in sospeso.
Qual è la differenza tra un programma di divulgazione e un bug bounty?
Un programma di divulgazione riceve le segnalazioni e promette un trattamento equo. Un bug bounty aggiunge un pagamento e con ciò invita alla ricerca attiva. Il primo è una base per ogni azienda con un prodotto online, il secondo è una decisione di budget e di preparazione.
Una clausola di safe harbor ci espone a rischi?
Ti impegna a non perseguire chi rispetta le tue regole. Non autorizza nulla al di fuori di quelle regole e non vincola né i terzi né i pubblici ministeri. Il testo viene esaminato dai tuoi legali prima della pubblicazione.
Progettazione, avvio e gestione del tuo programma di bug bounty: politica, perimetro, tabella delle ricompense, triage e comunicazione con i ricercatori.