I sistemi informatici hanno 'buchi'? La Cia non avverte le aziende

Il governo statunitense a volte si astiene dal rivelare informazioni su importanti vulnerabilità telematiche. A sostenerlo è un documento diffuso mercoledì dalla Casa Bianca.
I servizi di intelligence statunitensi possono contare su team di ricercatori sulla cybersicurezza che dedicano le loro giornate alla ricerca di eventuali falle nei sistemi informatici. Una volta scoperte, queste vulnerabilità sono registrate in documenti riservati e portate all’attenzione del governo.
L’insieme delle procedure che determina se divulgare o meno queste informazioni sulla sicurezza del computer e il loro utilizzo da parte delle agenzie di intelligence statunitensi è chiamato Vulnerabilities Equities Process (Vep). Creato sotto l’amministrazione di Barack Obama, il Vep viene utilizzato per esaminare le vulnerabilità della sicurezza di cui i produttori di dispositivi e i creatori di software ignorano l’esistenza. A queste vulnerabilità, essendo sconosciute a coloro che potevano correggerle, la cybercriminalità dà la caccia da sempre.
Un documento di 14 pagine pubblicato dall’amministrazione del presidente Donald Trump rende un po’ più chiaro il processo del Vep. Quando viene scoperta una vulnerabilità, una commissione composta da una dozzina di agenzie e dipartimenti la esamina per determinarne l’importanza.
Se il gruppo ritiene che sia improbabile che un hacker abbia i mezzi per sfruttare un errore o che un aggiornamento impieghi troppo tempo per essere applicato per mitigare gli effetti negativi di un attacco, può scegliere di non renderlo pubblico.
Il comitato è guidato dalla National Security Agency (Nsa) e comprende il Federal Bureau of Investigation (Fbi), la Central Intelligence Agency (Cia) e il Department of Homeland Security. Il gruppo è guidato da Rob Joyce, coordinatore della sicurezza informatica alla Casa Bianca.
Joyce avrebbe detto che il 90% delle vulnerabilità alla fine verrà rivelato alle aziende interessate. Il restante 10%, tuttavia, preoccupa gli esperti, i quali ritengono che siano probabilmente i difetti più gravi, che il governo degli Stati Uniti spera di sfruttare per i propri interessi.
Il VEP è stato ripetutamente criticato in passato per la sua quasi completa opacità, in particolare per quanto riguarda le vulnerabilità che espongono la popolazione a un aumento del rischio di pirateria.