“Exploring Coordinated Disclosure” è lo studio effettuato da Veracode che ha analizzato i comportamenti e le aspettative di aziende e ricercatori di sicurezza. Dallo studio emerge che oggi le aziende di software e i ricercatori di sicurezza sono quasi universalmente d’accordo nel pensare che rivelare le vulnerabilità per migliorare la sicurezza software rappresenti un vantaggio per tutti. Il 90% dei rispondenti, infatti, ha confermato che la divulgazione di vulnerabilità “ha universalmente lo scopo più ampio di migliorare il modo in cui il software viene sviluppato, utilizzato e corretto”.
Al fine di raccogliere dati rilevanti per questo report, 451 Research ha condotto un’indagine commissionata da Veracode – che si è svolta da dicembre 2018 a gennaio 2019 – utilizzando un campione rappresentativo di 1.000 intervistati in una vasta gamma di settori e organizzazioni di diverse dimensioni negli Stati Uniti, in Germania, Francia, Italia e Regno Unito. Per partecipare agli intervistati era richiesto un livello di familiarità con i modelli di divulgazione delle vulnerabilità medio-alto.
Altre evidenze dello studio:
–Le divulgazioni di vulnerabilità non richieste avvengono regolarmente. L’indagine ha rilevato che negli ultimi 12 mesi oltre un terzo delle aziende ha ricevuto un report di divulgazione delle vulnerabilità non richiesto. Per le organizzazioni che hanno ricevuto un rapporto di vulnerabilità non richiesto, il 90% delle vulnerabilità sono state divulgate in modo coordinato tra i ricercatori di sicurezza e l’azienda. Questa è la prova di un cambiamento significativo nella mentalità a dimostrazione che lavorare in modo collaborativo è l’approccio più efficace per raggiungere la trasparenza e migliorare la sicurezza.
–I ricercatori di sicurezza sono motivati dal bene comune. Lo studio mostra che i ricercatori di sicurezza sono generalmente ragionevoli e motivati dal desiderio di migliorare la sicurezza per il bene comune.
–Le aziende collaboreranno per risolvere i problemi. In modo promettente, tre aziende su quattro dichiarano di disporre di un metodo consolidato per ricevere un report da un ricercatore di sicurezza e il 71% degli sviluppatori ritiene che i ricercatori di sicurezza dovrebbero essere in grado di eseguire test non richiesti. I dati mostrano che gli sviluppatori vedono la divulgazione coordinata come parte del loro processo di sviluppo sicuro, si aspettano che il proprio lavoro venga testato al di fuori dell’organizzazione e sono pronti per rispondere ai problemi identificati.
–Non sempre le aspettative dei ricercatori di sicurezza in merito ai tempi di riparazione sono realistiche. I dati mostrano che dopo aver segnalato una vulnerabilità il 65% dei ricercatori di sicurezza si aspetta una correzione in meno di 60 giorni. Questo lasso temporale potrebbe essere troppo impellente e persino irrealistico se confrontato con il report più recente Veracode State of Software Security Volume 9, che ha rilevato che oltre il 70% di tutte le falle rimane per un mese dopo la scoperta.
–I bug bounty non sono una panacea. Secondo la ricerca sebbene i programmi di bug bounty siano al centro dell’attenzione quando si parla di divulgazione, sembra che in realtà il richiamo di un giorno di paga non stia guidando il grosso delle divulgazioni. Sebbene possano far parte di una strategia di sicurezza globale i bug bounty si rivelano spesso inefficienti e costosi. Dato che la maggior parte dei ricercatori di sicurezza è principalmente motivata dal vedere riparata una vulnerabilità piuttosto che dal denaro, le aziende dovrebbero considerare di concentrare le proprie risorse limitate sullo sviluppo di un software sicuro che trova le vulnerabilità all’interno del ciclo di vita dello sviluppo del software.
