L'Agenzia per la cybersicurezza nazionale (ACN) ha compiuto un passo importante il 7 ottobre con l'adozione della politica italiana di divulgazione coordinata delle vulnerabilità. L'obiettivo è chiaro: incoraggiare ricercatori di sicurezza e hacker etici a segnalare bug e falle nei sistemi informatici, compresi i pericolosi zero-day, prima che vengano sfruttati da cybercriminali. Un'iniziativa che segue le orme di programmi simili in altri Paesi, ma che in Italia presenta un nodo critico.
Il problema principale riguarda la tutela legale dei ricercatori. Nonostante l'invito formale a collaborare, chi scopre e segnala una vulnerabilità non gode di alcuna protezione penale specifica. In pratica, un hacker etico che individua un bug potrebbe essere accusato di accesso abusivo a sistema informatico, violazione che in Italia prevede pene severe. La politica dell'ACN, quindi, appare più come una dichiarazione d'intenti che come un vero scudo giuridico.
Un invito a rischio penale
La divulgazione coordinata delle vulnerabilità è una pratica consolidata a livello internazionale: il ricercatore segnala la falla al produttore o all'autorità competente, che ha un tempo definito per correggerla prima che venga resa pubblica. Questo meccanismo riduce il rischio di attacchi, ma richiede che chi segnala sia protetto da ritorsioni legali. In Italia, al momento, manca una norma che escluda la punibilità per chi agisce in buona fede e senza intenti malevoli. L'ACN ha invitato gli hacker etici a farsi avanti, ma senza garanzie concrete.
La conseguenza è che molti esperti potrebbero essere scoraggiati dal collaborare, lasciando le vulnerabilità scoperte e a disposizione dei criminali. Il 7 ottobre segna quindi un'opportunità mancata? Forse no, ma di certo il decreto attuativo dovrà chiarire al più presto il quadro legale. Altrimenti, l'Italia rischia di restare indietro nella corsa alla cybersicurezza, con i bug zero-day che continuano a rappresentare una minaccia concreta per aziende e cittadini.
