In USA una proposta di legge per la divulgazione responsabile di vulnerabilità da parte dell'NSA

Negli Stati Uniti il senatore democratico per il Texas Brian Schatz ha avanzato una proposta di legge che ha l'obiettivo di stabilire un quadro normativo per le modalità e le tempistiche con cui le agenzie federali debbano rendere nota l'esistenza di vettori di attacco conosciuti.

Il Protecting our Ability To Counter Hacking Act (a cui è già stato assegnato il nomignolo-acronimo di PATCH) andrebbe così a stabilire una "Vulnerability Equities Review Board" costituita dai responsabili delle agenzie di sicurezza USA assieme ai membri del Gabinetto che si occuperebbe di definire politiche e regolamentazioni che stabiliscano quando rivelare a realtà non governative le vulnerabilità scoperte allo scopo di poter prevenire altri disastri simili a quanto accaduto con WannaCry, l'attacco ransomware che alla fine della scorsa settimana si è abbattuto su oltre 150 Paesi del Mondo.

Gli autori dell'attacco, il collettivo che si fa chiamare Shadow Broker, ha sfruttato infatti vulnerabilità scoperte in passato dall'NSA statunitense e archiviate senza essere divulgate alle parti interessate che avebbero potuto così tapparle per tempo. Microsoft, che ha provveduto al più presto a rilasciare una patch correttiva per i sistemi interessati (tra cui anche gli obsoleti Windows XP e Windows 2000), ha poi criticato duramente le politiche USA legate alla cybersecurity affermando che il governo dovrebbe considerare quanto accaduto come una "wake-up call" e di considerare quale tipo di conseguenze per i cittadini potrebbero derivare dall'archiviare e nascondere le vulnerabilità e le loro possibilità di sfruttamento. WannaCry, infatti, ha anche messo in ginocchio il servizio sanitario nazionale del Regno Unito, con gli ospedali che si sono trovati nella condizione di dover cancellare appuntamenti per prestazioni mediche e rimandare operazioni.

La proposta di legge attende ora di essere votata, ma certamente quanto accaduto ha messo ancor di più in risalto come le minacce alla cybersicurezza siano ancora ampiamente sottovalutate. Il tempo stringe: Shadow Broker ha già minacciato di sfruttare nelle prossime settimane altre vulnerabilità.