• Google ha publicado un nuevo libro blanco de la ciberseguridad con propuestas para aumentar la transparencia al informar de vulnerabilidades.
• También ha propuesto un lobby para mejorar la legislación en EEUU y un fondo que pagará la asistencia legal a hackers que sean amenazados con una denuncia.

"Los investigadores hacen enormes contribuciones a la seguridad. Hoy anunciamos el nacimiento de un fondo que dará asistencia legal a investigadores que actúen de buena fe". "Desafortunadamente, muchos de estos profesionales se enfrentan a menudo a amenazas legales que pueden suponer obstáculos a sus investigaciones y a la divulgación de vulnerabilidades", explica la multinacional.

En el ámbito de la seguridad informática, las vulnerabilidades de día cero o zero-day son aquellas que, en el momento de su descubrimiento, no habían sido todavía detectadas y por lo tanto no habían sido reparadas. Es decir, vulnerabilidades que podían estar siendo aprovechadas por actores maliciosos que sí tuvieran conocimiento de ellas.

"Aunque la notoriedad de las vulnerabilidades de día cero es alta y suele copar titulares, los riesgos continúan a pesar de que sean descubiertas y parcheadas". De hecho, Google apunta que muchas de las vulnerabilidades zero-day que estaban aprovechando terceros maliciosos y que detectaron en 2022 en realidad eran variantes de agujeros similares que ya habían sido reparados antes.

Por eso, Google entiende que muchas de esas vulnerabilidades son fruto de "proveedores implementando reparaciones insuficientes en las vulnerabilidades originales". Por eso, junto a este fondo legal de asistencia para hackers de sombrero blanco —éticos— Google también recoge otra serie de propuestas en un nuevo libro blanco de la ciberseguridad que se ha publicado hoy.

El libro blanco propone, por ejemplo, que los proveedores tecnológicos garanticen más transparencia a la hora de reconocer y compartir vulnerabilidades. Google y las tecnológicas que han colaborado con ella en estas propuestas quieren que los proveedores sean más auditados y escrutados a la hora de cerrar los agujeros que sus sistemas y servicios sufriesen.

También demanda que se preste más atención "a los puntos de fricción" que se puedan dar en los ciclos de detección de una vulnerabilidad para asegurarse que "los riesgos a los usuarios se han respondido eficazmente", así como que se detecte "la raíz y el origen de las vulnerabilidades" para evitar potenciales ataques posteriores.

En el libro blanco, además del alumbramiento del nuevo fondo de asistencia legal para hackers se ha anunciado la creación de un nuevo consejo de políticas hacking que trabajará en estándares para que las empresas de todo el mundo puedan compartirlo y asumirlos a la hora de recibir reportes de vulnerabilidades por parte de investigadores en ciberseguridad.

"Este grupo abogará por políticas de sentido común relacionadas con la divulgación y gestión de vulnerabilidades. Se está formando como un proyecto dentro de un organismo regulador estadounidense y entre los miembros del consejo se encuentran Intel, Luta Security" o algunas plataformas que son intermediarias entre hackers y empresas: BugCrowd o HackerOne.

Ese centro responde a la necesidad de dotar de más legislación en EEUU a la actividad de los cazadores de bugs e investigadores en ciberseguridad en general.

No obstante, en España hay férreos requerimientos por parte de las autoridades. Si una empresa sufre una fuga de datos no solo está obligada a avisar a la Agencia Española de Protección de Datos: en función del caso y del sector, también deberá ponerse en contacto con instituciones como el Instituto Nacional de Ciberseguridad o el Centro Criptológico Nacional.

Fuentes:

https://blog.google/technology/safety-security/new-initiatives-to-reduce-the-risk-of-vulnerabilities-and-protect-researchers/

https://www.businessinsider.es/google-crea-fondo-asistencia-legal-hackers-demandados-1229264