Project Zero vai divulgar vulnerabilidades 90 dias após o reporte
Google Project Zero adota política de divulgação de falhas após 90 dias do reporte ao fabricante.
O que isso muda para a sua empresa
Se sua empresa usa software de terceiros, espere que falhas conhecidas se tornem públicas em até três meses. Isso pressiona fornecedores a lançar correções mais rápido e exige que você tenha processo para aplicar atualizações assim que saírem.
A equipe Project Zero do Google anunciou que passará a divulgar detalhes de vulnerabilidades de segurança 90 dias após reportá-las aos fabricantes afetados. A política vale para falhas encontradas em qualquer software ou hardware, independentemente de o fornecedor ter lançado correção. O prazo de 90 dias é contado a partir da data em que o relatório técnico é entregue ao responsável pelo produto.
A mudança formaliza prática que o grupo já seguia informalmente e busca equilibrar tempo para correção com transparência para usuários. Caso o fabricante libere um patch antes do fim do período, a divulgação pode ser antecipada. Se a falha estiver sendo explorada ativamente, o prazo cai para sete dias.
A decisão afeta diretamente pesquisadores de segurança, equipes de resposta a incidentes e fornecedores de tecnologia, que passam a ter linha de corte clara para priorizar correções e comunicar clientes.
Fonte original · Hacker News
Project Zero will disclose vulnerabilities 90 days after reporting
Este post é um resumo em português. A matéria completa está no site do publicador.
