FBK contribuisce allo sviluppo del futuro standard europeo per la sicurezza dei browser

I browser sono la porta d’accesso alla maggior parte dei servizi digitali che utilizziamo ogni giorno e rappresentano uno dei principali vettori di attacco informatico. Per supportare l’attuazione del Cyber Resilience Act (CRA), il regolamento europeo che introduce requisiti comuni di cybersecurity per i prodotti con elementi digitali immessi sul mercato dell’Unione europea, gli organismi europei di standardizzazione stanno sviluppando una serie di standard armonizzati che tradurranno i requisiti della normativa in indicazioni tecniche per produttori e sviluppatori.

Tra questi c’è anche lo standard dedicato ai browser web. Il progetto “Securing the Web Browser” presentato da Giovanni Corti, ricercatore dell’Unità Security & Trust del Centro Cybersecurity, è stato selezionato per un finanziamento nell’ambito di StandICT, il programma della Commissione europea che sostiene gli esperti impegnati nelle attività di standardizzazione nei settori Web e ICT. La proposta è stata valutata da quattro esperti indipendenti e selezionata per un finanziamento di lungo termine nell’ambito di una call altamente competitiva,.

Il riconoscimento valorizza un’attività spesso poco visibile ma strategica: la standardizzazione. Gli standard definiscono le regole tecniche che rendono le tecnologie affidabili e sicure e rappresentano il collegamento tra ricerca, industria e regolamentazione. 

“La standardizzazione è un’infrastruttura invisibile ma fondamentale dell’innovazione digitale. Con questo progetto contribuiamo allo sviluppo dello standard dedicato ai browser, integrando il threat modeling nei processi di standardizzazione e portando una pratica consolidata nella cybersecurity anche nella definizione degli standard internazionali”, spiega Giovanni Corti.

In questo ambito FBK è tra i pochi enti di ricerca italiani presenti nei principali organismi internazionali di standardizzazione. Come delegato della Fondazione, Giovanni Corti partecipa ai lavori del World Wide Web Consortium (W3C), dove è membro del Security Interest Group, che analizza gli aspetti di sicurezza degli standard e delle tecnologie del Web, e di ETSI (European Telecommunications Standards Institute), dove contribuisce a un gruppo di lavoro dedicato alla cybersecurity impegnato nello sviluppo degli standard collegati al Cyber Resilience Act.

Il progetto finanziato si concentra sullo sviluppo dello standard dedicato ai web browser  (ETSI EN 304-617 – “CRA – Essential Cybersecurity Requirements for Browsers”). Il contributo di Corti punta in particolare a integrare un approccio basato sul threat modeling, una metodologia che consente di identificare e analizzare le minacce già nelle fasi di progettazione dei sistemi. L’obiettivo è rendere lo standard maggiormente orientato alla gestione del rischio e allineato all’impostazione del Cyber Resilience Act, traducendo i requisiti della normativa europea in indicazioni tecniche concrete per i produttori di browser.

“Sono pochi i centri di ricerca italiani che partecipano attivamente ai processi di standardizzazione internazionale. Gli standard tipicamente permettono l’interoperabilità in infrastrutture digitali eterogenee, ma portano benefici anche per la sicurezza perché permettono di introdurre delle best practice (ad esempio per la configurazione o la gestione di moduli software) che, se adottate su vasta scala, possono contribuire a migliorare sensibilmente la postura di sicurezza di intere infrastrutture o ecosistemi digitali, contribuendo (a tendere) a migliorare l’affidabilità e la resilienza di quel Digital Single Market di cui l’Europa ha sempre più bisogno per rispondere alle sfide economiche e sociali attuali e future. Il finanziamento ottenuto rappresenta un riconoscimento del valore della proposta di Giovanni che ha trovato una naturale collocazione nelle attività del Centro ed allo stesso tempo  rafforza ulteriormente il ruolo di FBK nel panorama internazionale della standardizzazione” spiega Silvio Ranise, direttore del Centro Cybersecurity della Fondazione.