I fornitori di IoT stanno facendo lenti progressi nel facilitare ai ricercatori di sicurezza la segnalazione di bug di sicurezza, con solo il 27,1% dei fornitori che offre una politica di divulgazione delle vulnerabilità.
La cifra, basata sull'ultimo rapporto annuale della IoT Security Foundation (IoTSF), si confronta con il 9,7% dei fornitori di IoT (Internet of Things) che sono stati segnalati per avere una politica di divulgazione nell'edizione 2018 dello stesso studio.
La gestione delle vulnerabilità dovrebbe essere una pietra angolare della sicurezza dei prodotti connessi, ampiamente raccomandata in 30 iniziative di orientamento sulla sicurezza informatica, tra cui l'IoT Security Assurance Framework dell'IoTSF.
La segnalazione diretta dei problemi di sicurezza è essenziale per la manutenzione del ciclo di vita della sicurezza e i fornitori rischiano di non rispettare le normative britanniche appena emanate se ignorano i mandati delle best practice.
La Product Security and Telecoms Infrastructure del Regno Unito, diventata legge all'inizio di dicembre 2022, richiede che i produttori, gli importatori e i distributori di IoT offrano una politica di divulgazione delle vulnerabilità, con i fornitori che violano questo rischio di potenziali sanzioni, comprese sanzioni fino a £ 20.000 al giorno nel casi più gravi.
Laurie Mercer, senior manager of security engineering di HackerOne, ha dichiarato: “
Conoscere le vulnerabilità di sicurezza all'interno di prodotti e servizi attraverso una VDP (Vulnerability Disclosure Policy) è un modo importante per identificarle e correggerle come parte del ciclo di vita della sicurezza del prodotto. È una best practice che i clienti cercano sempre più che il loro fornitore adotti, ma questa ricerca suggerisce che non è ancora una pratica comune".