Aziende IT alla ricerca di uno standard per regolamentare la sicurezza

Le maggiori aziende del settore Information Technology (IT) tra cui Microsoft, HP, Sun, Compaq e Oracle hanno dato vita alla Organization for Internet Security (OIS), un'intesa che ha l'obiettivo di limitare la divulgazione delle informazioni relative alle falle di sicurezza.

OIS è, infatti, un'alleanza che ha il compito di far prevalere la politica del ''non disclosure'', per fare in modo che i problemi e le falle rilevate siano rese note solo a certe condizioni e dopo un certo intervallo di tempo.

Come sottolineato da un noto quotidiano che si occupa di sicurezza informatica, quest'alleanza si inserisce in un dibattito iniziato anni fa, tra i sostenitori di due posizioni opposte: il ''full disclosure'' e il ''non disclosure''.

Per i difensori del ''full disclosure'' è fondamentale disporre della libertà di pubblicare ciò che si ritiene importante quando lo si considera necessario, questo, però a detta dei sostenitori del ''non disclosure'' rischia troppo spesso di facilitare le aggressioni degli hacker.

In base agli accordi sottoscritti dalla OIS i bollettini di sicurezza ometteranno ogni dettaglio relativo a una nuova falla nei primi trenta giorni dall'annuncio della falla stessa. Trascorsi i trenta giorni le aziende potranno fornire qualche informazione in più, ma non pubblicheranno tool e dettagli che potrebbero risultare utili ai cracker o favorire l'elaborazione di nuovi virus worm.

Per limitare il ''full disclosure'' l'organizzazione elaborerà anche la bozza di uno standard internazionale relativo alle modalità di divulgazione delle vulnerabilità di sicurezza.