Cosa è questo registro
Questo registro documenta lo stato delle vulnerabilità di sicurezza segnalate responsabilmente ai fornitori di software in ambito sanitario italiano e alle autorità competenti. Per ciascuna vulnerabilità vengono riportati esclusivamente fatti verificabili e datati: la data della segnalazione, lo stato del processo di correzione e la disponibilità pubblica di una patch o di un avviso ufficiale.
Il registro non esprime giudizi sull'operato di alcun soggetto. Riporta date, stati e circostanze oggettive. Ogni valutazione sulle informazioni presentate è lasciata al lettore.
Perché esiste
Il software sanitario tratta alcuni dei dati più sensibili che esistano: cartelle cliniche, prescrizioni, dati identificativi di pazienti. Quando questo software presenta vulnerabilità di sicurezza, il tempo che intercorre tra la scoperta e la correzione è il tempo in cui i dati di pazienti e operatori restano a rischio.
Questo registro rende trasparente e misurabile quel tempo. La trasparenza sui tempi di correzione è uno strumento riconosciuto a livello internazionale, adottato tra gli altri da Google Project Zero, dal Zero Day Initiative e da numerosi CERT nazionali, per incentivare la correzione tempestiva delle vulnerabilità nell'interesse degli utenti finali.
Lo standard: ISO/IEC 29147
L'attività segue il processo internazionale di divulgazione delle vulnerabilità definito dalla norma ISO/IEC 29147(Vulnerability disclosure) e dai principi di gestione della norma complementare ISO/IEC 30111 (Vulnerability handling processes). Questi standard codificano come ricevere, coordinare e pubblicare le informazioni su una vulnerabilità in modo da tutelare gli utenti finali: comunicazione preventiva al fornitore, finestra di correzione, e pubblicazione responsabile.
Modello di divulgazione coordinata (90+30)
Coerentemente con ISO/IEC 29147 e con il quadro europeo e nazionale in materia (Direttiva NIS2 e relativo recepimento), il progetto adotta un modello di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure) con termini fissi e dichiarati in anticipo:
- 01
Segnalazione. Ogni vulnerabilità viene comunicata, tramite canale con data certa, all'Agenzia per la Cybersicurezza Nazionale (ACN/CSIRT Italia) e, per il suo tramite o direttamente, al fornitore del prodotto. La data di questa comunicazione costituisce il punto di partenza di ogni conteggio.
- 02
Periodo di correzione (90 giorni). Al fornitore sono riconosciuti 90 giorni dalla segnalazione per rilasciare una correzione, prima della pubblicazione dei dettagli tecnici.
- 03
Periodo di adozione (ulteriori 30 giorni). Qualora la correzione venga rilasciata entro il termine, la pubblicazione dei dettagli tecnici viene ulteriormente posticipata di 30 giorni, per consentire agli utilizzatori di applicare l’aggiornamento.
- 04
Pubblicazione. Trascorsi i termini, i dettagli della vulnerabilità vengono pubblicati nella forma mitigata descritta più avanti.
Questi termini sono fissi e dichiarati in anticipo. Non dipendono dalla valutazione discrezionale di alcuna parte. La loro applicazione uniforme è ciò che rende il processo prevedibile e coordinato.
Come vengono condotte le analisi
Tutte le analisi documentate in questo registro sono condotte esclusivamente su:
- software legalmente detenuto o pubblicamente disponibile, analizzato in ambiente di laboratorio isolato;
- informazioni ottenute mediante analisi statica del software o mediante fonti pubblicamente accessibili.
Non viene condotta alcuna interazione con sistemi in produzione, né alcuna scansione, accesso o test su infrastrutture di terzi. Ogni finding riportato deriva da analisi condotta su copie del software o da informazioni già pubbliche, mai da accessi a sistemi altrui.
Questa impostazione è deliberata e non derogabile. Distingue nettamente l'attività documentata in questo registro da qualsiasi forma di accesso non autorizzato a sistemi informatici.
Criteri di severità (CVSS)
La severità di ogni vulnerabilità è espressa secondo lo standard CVSS v3.1 (Common Vulnerability Scoring System) di FIRST.org. Per ogni advisory viene pubblicato sia il punteggio numerico sia il vettore da cui deriva, così che il calcolo sia verificabile in modo indipendente. Le bande di gravità (Bassa, Media, Alta, Critica) seguono la classificazione ufficiale FIRST.org.
Attribuzione dei CVE
Dove pertinente, alle vulnerabilità viene richiesta l'assegnazione di un identificativo CVE (Common Vulnerabilities and Exposures) tramite i canali di coordinamento competenti. Fino a quando un CVE non risulta effettivamente assegnato, il campo relativo è riportato come «non ancora assegnato»: il registro non anticipa identificativi non ancora emessi.
Cosa viene pubblicato, e cosa no
L'obiettivo di questo registro è essere utile a chi deve difendere i sistemi (fornitori, amministratori, autorità), non a chi volesse attaccarli. Per questo la pubblicazione segue un principio di mitigazione:
Viene pubblicato
la classe della vulnerabilità (ad esempio: credenziali memorizzate in modo non sicuro, crittografia inefficace, controllo degli accessi assente), la sua severità secondo lo standard CVSS, il potenziale impatto in termini generali, la cronologia del processo di correzione, e raccomandazioni di mitigazione per gli utilizzatori.
Non viene pubblicato, in nessuna fase
codice di exploit funzionante, credenziali o chiavi crittografiche effettive, indirizzi o elementi che rendano identificabili o raggiungibili sistemi specifici, o qualsiasi altra informazione che costituisca uno strumento pronto all'uso per compromettere un sistema.
I dettagli tecnici sensibili, quando esistenti, sono resi disponibili esclusivamente alle autorità competenti e ai CERT/CSIRT accreditati, su richiesta.
Descrivere il problema senza fornire l'arma è la prassi consolidata della ricerca di sicurezza responsabile.
Gli stati del processo
Ogni voce del registro riporta uno stato, che descrive una circostanza oggettiva e verificabile:
- Segnalato
la vulnerabilità è stata comunicata; è in corso il periodo di correzione.
- Presa in carico
è stata ricevuta conferma formale della ricezione della segnalazione.
- In attesa di riscontro
non risultano, alla data, aggiornamenti pubblici né comunicazioni ricevute. Il contatore dei giorni prosegue.
- Correzione in corso
il fornitore ha dato riscontro e ha comunicato che la correzione è in lavorazione. È una comunicazione ricevuta dal fornitore, non verificata in modo indipendente; alla data non risulta pubblicamente disponibile una patch. Il contatore dei giorni prosegue.
- Patch rilasciata
risulta pubblicamente disponibile una correzione; ne è indicata la data.
- Scadenza superata, nessuna patch
il termine di divulgazione è trascorso e non risulta pubblicamente disponibile una correzione.
- Divulgato
i dettagli della vulnerabilità sono stati pubblicati nella forma mitigata sopra descritta.
Nessuno stato attribuisce responsabilità o intenzioni a terzi. Ogni stato riflette unicamente ciò che è oggettivamente osservabile dall'esterno del processo.
Sulla natura dei dati riportati
Chi gestisce questo registro non ha accesso alle comunicazioni riservate tra le autorità e i fornitori. Il registro riflette pertanto una prospettiva esterna: documenta gli input verificabili (la data della segnalazione) e gli output pubblicamente osservabili (il rilascio di una patch, l'emissione di un avviso). L'assenza di un output pubblico è riportata come tale, come assenza di un dato pubblico osservabile, e non come giudizio sull'operato di alcun soggetto.
Contatti e diritto di rettifica
Qualsiasi soggetto interessato (fornitore, autorità o utilizzatore) che ritenga un'informazione riportata inesatta può richiederne la verifica e l'eventuale rettifica attraverso la pagina Contatti o all'indirizzo ricerca@apocert.it. Le richieste documentate di correzione di dati fattualmente errati vengono trattate con priorità.