Cybersicurezza Italia: segnalare falle senza rischiare il reato

cybersicurezza Italia. Un articolo su Guerre di Rete ha riacceso la discussione sulle tutele per chi individua vulnerabilità informatiche in Italia. La politica nazionale di divulgazione coordinata, pur esistente, non prevede specifiche protezioni da responsabilità civili e penali.

Come evidenziato da un’analisi di Guerre di Rete, in Italia mancano attualmente garanzie dedicate agli ‘hacker etici’. Il dibattito si concentra sul problema delle responsabilità legate alle attività di individuazione delle vulnerabilità, con diverse opinioni sull’importanza da attribuire alla buona fede e all’autorizzazione del proprietario del sistema.

cybersicurezza Italia: perché è importante

Il limite viene confermato anche nella relazione annuale dell’ACN, disponibile sul sito del Senato. Il documento sottolinea che la politica nazionale di divulgazione coordinata delle vulnerabilità non disciplina la protezione dei segnalanti da responsabilità civile e penale. Viene inoltre ricordata la necessità che la ricerca non configuri reati, citando in particolare l’accesso abusivo a sistemi informatici previsto dall’articolo 615-ter del Codice Penale.

La relazione dell’ACN chiarisce anche un aspetto relativo all’anonimato: il segnalante può richiederlo, ma l’Agenzia può comunque trattare informazioni potenzialmente identificative come l’indirizzo IP. Restano validi gli obblighi di comunicazione alle autorità competenti in caso di reato, pur con misure a tutela della riservatezza.

Il timore diffuso è che questa incertezza possa disincentivare le segnalazioni, lasciando irrisolte vulnerabilità che potrebbero essere corrette. Alcuni insistono sulla necessità del consenso del titolare del sistema e distinguono tra verifiche autorizzate e accessi non autorizzati, sottolineando la difficoltà di bilanciare la sicurezza dei sistemi con la tutela di chi rileva le falle.

Il quadro europeo, delineato dalla direttiva NIS2, considera entrambi gli aspetti. La direttiva descrive la divulgazione coordinata come un processo che mette in relazione chi scopre il problema con il produttore o fornitore interessato, concordando i tempi di correzione e pubblicazione. L’obiettivo è gestire la vulnerabilità attraverso un’interlocuzione organizzata.

Cosa cambia e quali sono gli effetti

La direttiva affronta anche l’esposizione dei ricercatori a responsabilità penali e civili, incoraggiando gli Stati membri ad adottare orientamenti sulla non perseguibilità e sull’esenzione da responsabilità civile per queste attività, nel rispetto del diritto nazionale. Il testo europeo riconosce che organizzare il passaggio delle informazioni non risolve completamente il problema della tutela di chi le fornisce.

Per il coordinamento, la direttiva prevede un CSIRT intermediario tra segnalanti e soggetti interessati, con compiti come il contatto delle parti, l’assistenza a chi comunica la falla e la negoziazione dei tempi di divulgazione. La discussione italiana ha evidenziato la richiesta di una protezione giuridica condizionata, spesso definita “safe harbor”, associata a requisiti quali la segnalazione all’ente competente, l’assenza di sottrazione dei dati e il rispetto di tempi definiti. Si tratta di una proposta che mira a rendere prevedibili le conseguenze della ricerca cambiamento in buona fede.

Fonte e approfondimento su cybersicurezza Italia: articolo originale.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.