Strumento gratuito

Generatore gratuito di politiche sulla divulgazione delle vulnerabilità

Il generatore redige una politica di divulgazione delle vulnerabilità che definisce l'ambito di applicazione, le clausole di esenzione e i tempi di risposta, oltre al file security.txt che ne indica l'ubicazione ai ricercatori.

Crea la tua polizza Generatore di security.txt
  • Politica di trasparenza
  • Clausola di salvaguardia
  • file security.txt
  • Lista di controllo per la pubblicazione

Elabora la tua politica di segnalazione delle vulnerabilità.

Completa i 3 passaggi e copia i risultati al passaggio 4.

Raccontaci della tua organizzazione

La pagina in cui pubblicherai la politica. Il file security.txt rimanda a essa.

Uno per riga. Lascia il campo vuoto per includere il tuo sito web e i suoi sottodomini.

Scegli come gli utenti possono segnalare

Indica almeno un metodo di segnalazione. Il file security.txt li elenca in questo ordine.

La pagina dedicata al tuo programma su una piattaforma come HackerOne, Bugcrowd, Intigriti o YesWeHack.

Manca meno di un anno da oggi. Aggiorna il file prima di questa data.

Un collegamento alla tua chiave pubblica, che i ricercatori utilizzano per crittografare i propri rapporti. Il file rimanda alla chiave, ma non la contiene.

Stabilisci le regole

Premi
Metodi di prova non consentiti
security.txt

Il file all'indirizzo indicato sul vostro sito web e una sintesi della politica.

Copia il file policy e il file security.txt

Rileggi il testo prima di pubblicarlo. Si trova subito dopo le tue risposte riportate sopra.

Inserisci il nome della tua organizzazione per visualizzare la tua politica e il file security.txt.

Il generatore redige il testo sulla base delle vostre risposte, della norma RFC 9116 e dei modelli standard di politica di divulgazione, come quello fornito dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti. Non si tratta di una consulenza legale. Esamina la politica prima di pubblicarla e verifica la formulazione relativa alla clausola di salvaguardia con un avvocato: essa riguarda esclusivamente le attività della tua organizzazione, non quelle di altre parti o delle autorità giudiziarie.

Dove pubblicare la propria politica.

I ricercatori cercano una pagina dedicata alla sicurezza, un file security.txt o un'e-mail relativa alla sicurezza. Inserisci la politica proprio dove vanno a cercare e assicurati che qualcuno risponda.

  1. Una pagina dedicata. Pubblica la politica tramite un link breve, ad esempio /security o /vulnerability-disclosure-policy.

  2. Il piè di pagina del tuo sito web. Inserisci il link alla politica nel piè di pagina, accanto all’Informativa sulla privacy e ai Termini e condizioni.

  3. Il file security.txt. Carica il file in /.well-known/security.txt. La riga "Policy" contiene il link alla pagina.

  4. La casella di posta dedicata alle segnalazioni. Configura l’indirizzo e-mail di sicurezza e assicurati che qualcuno lo controlli ogni giorno lavorativo.

  5. I vostri prodotti. Ai sensi della legge dell’UE sulla resilienza informatica, indicate il referente e il link alla politica nelle informazioni per l’utente di ciascun prodotto.

  6. Un rapporto di test. Inviare un rapporto di test attraverso ciascun percorso, verificare il tempo di risposta e rivedere la politica una volta all'anno.

Le regole

Cosa prevedono le regole.

Ogni riga indica una legge, una norma o una direttiva governativa, quando è applicabile, e cosa richiede in merito alla vostra politica di divulgazione.

Leggi e norme in materia di segnalazione delle vulnerabilità, i casi in cui si applicano e cosa prevedono
Legge o norma Quando si applica Cosa richiede
RFC 9116 (security.txt) Qualsiasi sito web. Si tratta di uno standard Internet volontario. Un file di testo semplice in /.well-known/security.txt, accessibile tramite HTTPS, contenente almeno una riga "Contact" e una data di scadenza, idealmente inferiore a un anno.
Legge dell'UE sulla resilienza informatica (Regolamento (UE) 2024/2847) Produttori di software e prodotti connessi venduti nell'UE. L'obbligo di segnalazione entra in vigore l'11 settembre 2026, mentre gli altri requisiti l'11 dicembre 2027. Una politica coordinata di segnalazione delle vulnerabilità e un indirizzo di contatto per le segnalazioni (Allegato I, Parte II), un unico punto di contatto indicato nelle informazioni per gli utenti (Allegato II) e la segnalazione all’ENISA, entro 24 ore, delle vulnerabilità oggetto di sfruttamento attivo.
Direttiva NIS2 (UE) 2022/2555 Soggetti fondamentali e di rilievo nell’UE, quali i fornitori di servizi cloud, di hosting e di infrastrutture digitali. Gestione e divulgazione delle vulnerabilità nell’ambito delle misure di sicurezza (articolo 21). I CSIRT nazionali coordinano la divulgazione tra ricercatori e aziende (articolo 12).
Regime britannico per la sicurezza dei prodotti e delle infrastrutture di telecomunicazione (PSTI) Produttori di prodotti di consumo connessi venduti nel Regno Unito a partire dal 29 aprile 2024. Una procedura ufficiale per segnalare problemi di sicurezza e i tempi entro i quali chi effettua la segnalazione riceve una conferma di ricezione e aggiornamenti sullo stato della pratica.
Direttiva operativa vincolante CISA 20-01, Stati Uniti Agenzie civili federali statunitensi. Il suo modello di politica aziendale costituisce un riferimento comune per le imprese. Una politica pubblicata che indichi i sistemi interessati, le modalità di segnalazione, l’impegno a non intraprendere azioni legali nei confronti di chi effettua ricerche in buona fede e la conferma di ricezione delle segnalazioni entro 3 giorni lavorativi.
ISO/IEC 29147 e ISO/IEC 30111 Qualsiasi organizzazione. Si tratta di standard internazionali, spesso richiesti nelle valutazioni di sicurezza. Come ricevere segnalazioni e pubblicare avvisi (29147) e come confermare, risolvere e monitorare ogni segnalazione all’interno della propria organizzazione (30111).

Generatore di politiche di utilizzo accettabile

La vostra Politica di utilizzo accettabile stabilisce le regole per tutti gli altri.

Il generatore di politiche di utilizzo accettabile di TermsFeed vieta di effettuare sondaggi o test sul tuo servizio senza autorizzazione scritta e chiede agli utenti di segnalarti eventuali vulnerabilità. La tua politica di divulgazione concede tale autorizzazione ai ricercatori che la rispettano.

Genera una politica di utilizzo accettabile

Domande frequenti.

Risposte alle domande più frequenti sulle politiche di segnalazione delle vulnerabilità.

Che cos’è una politica di divulgazione delle vulnerabilità?

Una politica di segnalazione delle vulnerabilità indica ai ricercatori di sicurezza come segnalare una vulnerabilità individuata nei vostri sistemi e come verrà gestita tale segnalazione.

Una politica di solito copre i seguenti aspetti.

  • I sistemi che rientrano nell’ambito di applicazione e quelli che ne sono esclusi.
  • I metodi di test non consentiti, come ad esempio gli attacchi denial of service.
  • Come effettuare la segnalazione e quali informazioni includere.
  • I tempi di risposta e quando i dettagli vengono resi pubblici.
  • L'impegno a non intraprendere azioni legali contro la ricerca in buona fede, noto come "safe harbor".

Ho bisogno di una politica sulla segnalazione delle vulnerabilità?

Alcune leggi la richiedono e ogni sito web ne trae vantaggio.

  • Il Cyber Resilience Act dell’UE impone ai produttori di software e prodotti connessi venduti nell’UE di adottare una politica coordinata di divulgazione delle vulnerabilità a partire dall’11 dicembre 2027.
  • Il regime PSTI del Regno Unito richiede ai produttori di prodotti di consumo collegabili di pubblicare le modalità di segnalazione dei problemi di sicurezza.
  • La direttiva UE NIS2 include la divulgazione delle vulnerabilità tra le misure di sicurezza delle entità essenziali e importanti.

In assenza di una politica, un ricercatore che individua una vulnerabilità non sa a chi segnalarla e, talvolta, la rende pubblica senza avvisarvi.

Una politica di divulgazione delle vulnerabilità è la stessa cosa di un programma di ricompensa per la segnalazione di bug?

No. Una politica di segnalazione delle vulnerabilità incoraggia le segnalazioni. Un programma di bug bounty incoraggia le segnalazioni e le ricompensa.

  • Una politica può essere pubblicata gratuitamente e funziona autonomamente.
  • Un programma di bug bounty aggiunge dei premi, spesso gestito su una piattaforma come HackerOne o Bugcrowd, secondo le regole stabilite dalla piattaforma stessa.

La maggior parte delle organizzazioni inizia con una politica e aggiunge i premi in un secondo momento.

Cosa significa “safe harbor” in una politica di divulgazione?

Il safe harbor è la vostra garanzia che la ricerca che rispetta la politica è autorizzata e che non intraprenderete alcuna azione legale nei suoi confronti.

  • Il "safe harbor" riguarda le attività svolte dalla vostra organizzazione.
  • Non impedisce ad altre parti, come un provider di hosting o i pubblici ministeri, di agire.
  • La ricerca deve rispettare la politica: l’ambito di applicazione, i metodi di prova e le regole di divulgazione.

Verifica la formulazione con un avvocato prima di pubblicarla.

Entro quanto tempo dovremmo rispondere a una segnalazione?

Molte politiche confermano di aver ricevuto una segnalazione entro 3 giorni lavorativi, come previsto dal modello della CISA.

  • Scegliete tempi di risposta che il vostro team sia in grado di rispettare ogni volta: una risposta mancata è il motivo più comune per cui i ricercatori pubblicano in anticipo.
  • Il regime PSTI del Regno Unito richiede di pubblicare i propri tempi di risposta, non di rispettare un numero prestabilito di giorni.
  • È comune fissare una scadenza di 90 giorni prima che i dettagli vengano resi pubblici.

Il Generatore di politiche sulla divulgazione delle vulnerabilità è gratuito?

Sì, il Generatore di politiche di divulgazione delle vulnerabilità è gratuito.

  • Il generatore non richiede la creazione di un account.
  • Il generatore crea anche il file security.txt.

Crea la tua politica utilizzando il generatore qui sopra.