The Coverage Gap: Chile's Cyber Disclosure Framework versus the USA, EU and UK
Questo articolo identifica un critico "Gap di Copertura" nel quadro della cybersicurezza del Cile, rivelando che solo l'1,7% dei suoi 915 operatori di infrastrutture vitali designati pubblica canali verificabili di divulgazione delle vulnerabilità — un netto contrasto con la conformità quasi universale negli Stati Uniti e nell'UE — e propone una tabella di marcia in quattro fasi insieme a uno strumento open-source per colmare questo ritardo normativo pluriennale.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Il quadro generale: Il "Gap di Copertura"
Immaginate che il Cile abbia appena costruito una massiccia fortezza ad alta tecnologia per proteggere i suoi edifici più importanti (ospedali, banche, centrali elettriche, sistemi idrici). Hanno una nuova legge (Ley 21.663) e una nuova agenzia di sicurezza (ANCI) per sorvegliarli.
Tuttavia, questo documento pone una domanda semplice: se qualcuno trova un buco nel muro di questa fortezza, sa chi chiamare per avvisare i proprietari?
Gli autori chiamano questo il "Gap di Copertura" (Coverage Gap). È la distanza tra quanto questi edifici siano visibili al pubblico e se abbiano un cartello "Non disturbare" funzionante che dica: "Se vedi un problema, scrivici qui".
La scoperta principale: Una fortezza silenziosa
I ricercatori hanno esaminato 915 di queste organizzazioni critiche (le "OIV"). Hanno utilizzato un metodo che è come camminare per strada guardando le porte anteriori e le finestre, senza mai provare a scassinare o bussare alla porta.
Ecco cosa hanno scoperto:
- Il campanello è rotto: Solo 16 su 915 (circa l'1,7%) delle organizzazioni ha un cartello "Non disturbare" pubblico e funzionante (un file digitale specifico chiamato
security.txt) che dice ai ricercatori come segnalare un bug. - I grandi attori sono silenziosi: Nessuna delle quattro principali banche cilene e nessuna delle due più grandi compagnie telefoniche possiede questo cartello.
- Il risultato: Se un ricercatore amichevole trova un buco di sicurezza in uno di questi 98,3% dei sistemi critici, non ha un posto dove segnalarlo. Potrebbe semplicemente andarsene, o peggio, l'informazione potrebbe essere venduta ai criminali.
Il problema dell' "Email": La cassetta delle lettere aperta
Il documento ha anche controllato se queste organizzazioni stessero proteggendo i propri indirizzi email. Immaginate se l'indirizzo email di una banca fosse scritto su un pezzo di carta che chiunque può facilmente falsificare.
- Il dato: L'84% di queste organizzazioni ha configurato in modo errato ("misconfigured") la sicurezza delle proprie email.
- L'analogia: È come se una banca inviasse lettere con un indirizzo di ritorno che chiunque può copiare e incollare. Questo rende molto facile per gli impostori fingere di essere la banca e ingannare le persone.
- Il confronto: Negli USA, nel Regno Unito e nei Paesi Bassi, quasi il 100% dei sistemi governativi e critici ha risolto questo problema. Il Cile è circa 8 anni indietro rispetto a loro su questa specifica correzione.
Il problema del "Software Vecchio": Il cancello arrugginito
I ricercatori hanno anche dato un'occhiata al software che queste organizzazioni stanno utilizzando.
- Il dato: Circa il 23% di esse utilizza software che è a "Fine Vita" (End of Life), come un modello di auto per il quale il produttore ha smesso di produrre pezzi di ricambio da 10 anni fa.
- Il rischio: Se un hacker trova un modo per rompere quel vecchio software, i proprietari non possono ottenere una "patch" (una correzione) per ripararlo perché il produttore non lo supporta più.
Come il Cile si confronta con il mondo
Gli autori hanno confrontato il Cile con altri cinque paesi (USA, Regno Unito, UE, Paesi Bassi, Danimarca).
- Il divario: In quei paesi, il governo ha emesso un ordine rigoroso (un "mandato") dicendo: "Dovete correggere la sicurezza delle vostre email e pubblicare un indirizzo per la segnalazione dei bug". Entro un anno o due, quasi tutti avevano risolto il problema.
- La situazione del Cile: Il Cile ha la legge sulla carta, ma non ha ancora emesso l'ordine specifico per risolvere questi dettagli tecnici. Gli autori affermano che il Cile è circa 8 anni indietro rispetto ai leader nella sicurezza delle email e 3 anni indietro in altre aree.
La soluzione proposta: Una tabella di marcia semplice
Il documento non suggerisce di costruire un nuovo ed costoso super-sistema. Suggerisce invece quattro semplici passi che il Cile può intraprendere immediatamente, simili a quelli che altri paesi hanno già fatto:
- L'ordine di "Riparazione": L'agenzia di sicurezza (ANCI) dovrebbe emettere una regola semplice dicendo: "Entro l'anno prossimo, ogni organizzazione critica deve correggere la sicurezza delle proprie email e pubblicare un indirizzo per la segnalazione dei bug". (Questo è ciò che ha fatto gli USA nel 2017).
- L'elenco telefonico: Creare un elenco pubblico dove chiunque può cercare l'indirizzo email corretto per segnalare un bug per ognuna delle 915 organizzazioni.
- Il servizio di assistenza: Il governo dovrebbe offrire uno strumento gratuito per aiutare le organizzazioni a controllare le impostazioni delle proprie email, in modo che non debbano assumere esperti costosi per farlo.
- Il rapporto annuale: Ogni anno, pubblicare un rapporto che mostri chi ha sistemato la propria sicurezza e chi no. Se non sistemi, devi spiegarne il motivo pubblicamente.
Conclusione
Il documento conclude che il Cile ha le leggi e i regolatori, ma gli mancano gli strumenti operativi per farle funzionare.
In questo momento, se un hacker amichevole trova una vulnerabilità in un ospedale o in una banca cilena, probabilmente non ha modo di avvisare i proprietari. Il "Gap di Copertura" è enorme. La buona notizia è che la soluzione è economica, facile e già collaudata in altri paesi. Gli autori sostengono che il Cile dovrebbe smettere di aspettare e iniziare a colmare questi vuoti immediatamente, perché il prossimo grande attacco informatico avverrà probabilmente proprio in quel vuoto.
Cosa il documento NON dice
- NON dice che queste organizzazioni siano state hackerate di recente. Dice solo che sono attualmente "irraggiungibili" per la segnalazione dei problemi.
- NON nomina banche o ospedali specifici nel rapporto per proteggerli da potenziali attacchi da parte di malintenzionati.
- NON afferma che il Cile sia "insicuro" in generale, ma piuttosto che il sistema per la segnalazione dei problemi è rotto.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.