Uma diretiva publicada na tarde de quarta-feira pela CISA (Cybersecurity and Infrastructure Security Agency) nos EUA obriga todas as agências federais civis do poder executivo (como o Departamento de Transporte, por exemplo) a criar políticas de divulgação de vulnerabilidades. Em outras palavras, o governo americano vai acolher as informações sobre vulnerabilidades enviadas por hackers éticos e não vai mais processá-los por isso. Atualmente, mesmo no Brasil, uma informação de vulnerabilidade pode acabar gerando um processo judicial contra a pessoa que a informou.
As políticas são um processo formal para que os pesquisadores de segurança relatem bugs que descobrem em sistemas públicos federais, como sites por exemplo. Embora algumas agências já tenham políticas semelhantes – algumas até oferecem recompensas a white hat hackers em programas de bug bounty -, esta é a primeira vez que um esforço coordenado está sendo feito no governo.
Veja isso
CISA entra no ‘Have I Been Pwned’ para proteger credenciais
Leva só 1 minuto para clonar um cartão de crédito, afirma pesquisadora
A diretiva publicada pela CISA exige que agências do poder executivo desenvolvam e publiquem suas políticas de divulgação de vulnerabilidades e mantenham processos para dar suporte a essa atividade. A CISA quer tornar 2020 o “ano da gestão da vulnerabilidade”, com um foco particular em tornar a divulgação da vulnerabilidade ao poder executivo civil mais fácil para o público.
“A cibersegurança é mais forte quando o público tem a capacidade de contribuir, e um componente-chave para receber ajuda do público em matéria de cibersegurança é estabelecer uma política formal que descreve como encontrar e relatar vulnerabilidades legalmente”, disse Bryan Ware, Diretor Assistente de Segurança Cibernética , CISA.
As políticas de divulgação de vulnerabilidades, afirma a CISA em seu comunicado, “aumentam a resiliência dos serviços online do governo, incentivando a colaboração significativa entre as agências federais e o público. Eles tornam mais fácil para o público saber para onde enviar um relatório, que tipos de teste são autorizados para quais sistemas e que tipo de comunicação esperar”.
Com agências internacionais
