Skip to content
Contatta l'ufficio vendite Prova gratuita Acquista ora
Blog degli sviluppatori

Prendiamo in mano la nostra strategia di sicurezza: Nitro diventa un’autorità di numerazione CVE (CNA)

Alan Gordon

Director, IT & Security

Siamo lieti di annunciare che Nitro è entrata a far parte del programma Common Vulnerabilities and Exposures (CVE™) in qualità di CVE Numbering Authority (CNA) sotto l’egida dell’ENISA, l’Agenzia dell’Unione Europea per la sicurezza informatica. Si tratta di un cambiamento che avviene dietro le quinte, ma importante per il modo in cui gestiamo e comunichiamo le problematiche relative alla sicurezza informatica nei nostri prodotti. Ecco di cosa si tratta, perché lo abbiamo fatto e cosa significa per i nostri clienti.

Innanzitutto, cos’è un CVE?

Quando viene individuata una vulnerabilità di sicurezza informatica in un software, è necessario attribuirle un nome su cui tutti possano concordare. Ecco a cosa serve un identificatore CVE (CVE ID): si tratta di un identificativo univoco, come ad esempio CVE-2026-12345, che fornitori, ricercatori, strumenti di sicurezza e team IT utilizzano tutti per riferirsi allo stesso problema.

Se avete mai consultato uno scanner di vulnerabilità, letto un avviso di sicurezza o applicato una patch a un sistema a seguito di una notizia, probabilmente ne avete visto uno. Gli ID CVE sono il modo in cui il mondo della sicurezza tiene traccia di ciò che è stato individuato e di ciò che è stato risolto.

Cosa fa una CNA?

Un’Autorità di numerazione CVE (CNA) è un’organizzazione autorizzata ad assegnare ID CVE e a pubblicare i corrispondenti record CVE relativi alle vulnerabilità all’interno di un ambito definito. Esistono oltre 550 CNA in tutto il mondo, tra cui i principali fornitori di software, aziende di sicurezza e CSIRT nazionali.

Le CNA sono organizzate sotto le "Root", che le reclutano, le formano, le inseriscono nel sistema e le supportano. L’ENISA è diventata una Root nel novembre 2025 per rafforzare il contributo e l’allineamento dell’Europa all’ecosistema globale delle vulnerabilità, e attualmente più di 20 organizzazioni e CSIRT nazionali fanno capo ad essa. Nitro è ora una di queste.

Il nostro ambito di competenza riguarda i prodotti di Nitro. Ciò significa che assegniamo e pubblichiamo i CVE relativi alle vulnerabilità riscontrate nel software Nitro, non nei prodotti di terze parti.

Perché l’abbiamo fatto

Fino ad ora, quando avevamo bisogno di un CVE per un problema in un prodotto Nitro, dovevamo richiederlo tramite MITRE CNA-LR. Ma ora che Nitro è un CNA, gestiamo autonomamente l’intero processo. Quando viene confermata una vulnerabilità, il nostro team di sicurezza può riservare immediatamente un ID CVE, coordinarne la pubblicazione con la correzione e redigere autonomamente il record CVE.

I problemi di sicurezza sono una realtà per ogni azienda di software. Ciò che distingue le aziende è il modo in cui li affrontano, con trasparenza e responsabilità. Essere un CNA ci attribuisce pienamente questa responsabilità: individuiamo il problema, lo risolviamo e comunichiamo chiaramente ai nostri clienti cosa è successo e cosa fare. Significa anche che facciamo parte di una rete di CNA europei che sta acquisendo sempre maggiore importanza, insieme ad altre organizzazioni che prendono la divulgazione sul serio quanto noi.

Cosa cambia per i clienti

  • Informazioni più rapide: i CVE possono essere pubblicati insieme alle nostre correzioni, così non dovrete attendere un processo separato per sapere cosa è cambiato.

  • Documentazione più utile: le versioni interessate, il livello di gravità e le linee guida per la risoluzione provengono direttamente dal team che conosce il prodotto.

  • Monitoraggio più semplice: gli scanner di vulnerabilità e gli strumenti di sicurezza rilevano automaticamente i record CVE, consentendo al vostro team di monitorare i problemi relativi a Nitro allo stesso modo di qualsiasi altro elemento del vostro ambiente.

Cosa cambia per i ricercatori di sicurezza

Se individuate una vulnerabilità in un prodotto Nitro, ora collaborerete con un unico team dalla segnalazione iniziale alla pubblicazione del CVE. Il nostro programma di divulgazione responsabile rimane invariato: segnalatecela, noi la confermeremo e la risolveremo, e riconosceremo il vostro contributo nel record pubblicato nel modo da voi indicato.

Puoi trovare ulteriori informazioni sul nostro programma di divulgazione responsabile nei link riportati di seguito.

Scopri di più