EUA deixarão de processar hacker que apontar falha em sistemas

Pelo contrário: todas as agências federais vão criar políticas de divulgação de vulnerabilidades e manter processos para recebê-las

Publicado por Damiao Oliveira

há 4 anos

Uma diretiva publicada na tarde de quarta-feira pela CISA (Cybersecurity and Infrastructure Security Agency) nos EUA obriga todas as agências federais civis do poder executivo (como o Departamento de Transporte, por exemplo) a criar políticas de divulgação de vulnerabilidades. Em outras palavras, o governo americano vai acolher as informações sobre vulnerabilidades enviadas por hackers éticos e não vai mais processá-los por isso. Atualmente, mesmo no Brasil, uma informação de vulnerabilidade pode acabar gerando um processo judicial contra a pessoa que a informou.

As políticas são um processo formal para que os pesquisadores de segurança relatem bugs que descobrem em sistemas públicos federais, como sites por exemplo. Embora algumas agências já tenham políticas semelhantes – algumas até oferecem recompensas a white hat hackers em programas de bug bounty -, esta é a primeira vez que um esforço coordenado está sendo feito no governo.

A diretiva publicada pela CISA exige que agências do poder executivo desenvolvam e publiquem suas políticas de divulgação de vulnerabilidades e mantenham processos para dar suporte a essa atividade. A CISA quer tornar 2020 o “ano da gestão da vulnerabilidade”, com um foco particular em tornar a divulgação da vulnerabilidade ao poder executivo civil mais fácil para o público.

“A cibersegurança é mais forte quando o público tem a capacidade de contribuir, e um componente-chave para receber ajuda do público em matéria de cibersegurança é estabelecer uma política formal que descreve como encontrar e relatar vulnerabilidades legalmente”, disse Bryan Ware, Diretor Assistente de Segurança Cibernética , CISA.

As políticas de divulgação de vulnerabilidades, afirma a CISA em seu comunicado, “aumentam a resiliência dos serviços online do governo, incentivando a colaboração significativa entre as agências federais e o público. Eles tornam mais fácil para o público saber para onde enviar um relatório, que tipos de teste são autorizados para quais sistemas e que tipo de comunicação esperar”.

Fonte : CISO Advisor