Che tipo di informazioni sono richieste per il database delle vulnerabilità dell’UE?

Il database delle vulnerabilità dell’UE, gestito e mantenuto da ENISA, contiene informazioni sulle vulnerabilità pubblicamente note nei prodotti e servizi ICT. L’obiettivo del database è migliorare la cibersicurezza centralizzando le informazioni sulle vulnerabilità e rendendole accessibili a tutti gli stakeholder.

Secondo le fonti, il database include le seguenti informazioni:

• Informazioni che illustrano la vulnerabilità: Sebbene le fonti non approfondiscano i dettagli specifici, ciò probabilmente si riferisce a una descrizione dettagliata della vulnerabilità, al suo potenziale impatto e ai metodi di sfruttamento.
• Prodotti o servizi ICT affetti e gravità della vulnerabilità: Questo include un elenco specifico dei prodotti e servizi impattati dalla vulnerabilità e una valutazione della sua gravità basata sulle circostanze del potenziale sfruttamento. Questo aiuta gli utenti a comprendere i rischi associati alla vulnerabilità e a dare priorità agli sforzi di mitigazione.
• Disponibilità di patch, e in assenza di queste, linee guida dalle autorità competenti o dai CSIRT per mitigare i rischi: Ciò garantisce che gli utenti abbiano accesso ai passi per la risoluzione. Se le patch non sono disponibili, il database fornisce indicazioni da parte di autorità come i CSIRT su come mitigare i rischi fino al rilascio di una patch. Queste indicazioni potrebbero includere soluzioni temporanee, configurazioni di sicurezza o soluzioni alternative.

Le fonti sottolineano che le entità possono volontariamente divulgare e registrare vulnerabilità pubblicamente note nel database delle vulnerabilità dell’UE. Questa divulgazione volontaria mira a promuovere una cultura della cibersicurezza e a incoraggiare la collaborazione tra gli stakeholder. Per le organizzazioni che rientrano nel perimetro della direttiva, comprendere questi obblighi fa parte di un più ampio percorso di adeguamento alla NIS2 che include gestione delle vulnerabilità, notifica degli incidenti e misure di sicurezza proporzionate al rischio. Puoi approfondire il quadro normativo di riferimento nell’articolo sull’obiettivo principale della Direttiva NIS2.