L'UE introduce rigide norme di sicurezza per i servizi VPN

Gli utenti che desiderano proteggere la propria privacy online si sono finora dovuti affidare principalmente alle promesse pubblicitarie dei fornitori di VPN o a occasionali verifiche esterne sulle politiche di crittografia e di non registrazione dei dati. Per questo motivo, l'Istituto europeo per gli standard di telecomunicazione (ETSI) sta introducendo uno standard unico e legalmente vincolante, l'EN 304 620. Le nuove norme impongono che tutti i servizi VPN venduti sul mercato europeo soddisfino requisiti rigorosi e verificabili in modo indipendente in materia di crittografia, autenticazione e gestione delle vulnerabilità.

La nuova bozza di standard è rivolta specificamente a client, server e gateway VPN. Specifica come questi prodotti debbano proteggere e crittografare il traffico internet degli utenti durante il transito su reti pubbliche o non verificate. Indipendentemente dal fatto che un provider utilizzi la crittografia AES-256 standard del settore, i moderni protocolli WireGuard o server che operano interamente nella memoria di sistema, sarà tenuto a dimostrare chiaramente il funzionamento dei propri meccanismi di sicurezza.

Lo standard costituisce una parte importante del più ampio Cyber Resilience Act, che richiederà a tutti i produttori di prodotti digitali di soddisfare i requisiti di sicurezza informatica di base entro la fine del 2027. Le nuove norme prevedono anche la segnalazione obbligatoria e rapida delle vulnerabilità di sicurezza attivamente sfruttate, il che significa una responsabilità molto maggiore per i fornitori in caso di violazione. Per l'utente medio, ciò si traduce in un livello di sicurezza significativamente più elevato, poiché le app VPN gratuite non verificate o addirittura pericolose dovranno migliorare la propria protezione o essere rimosse dal mercato europeo.

Allo stesso tempo, la supervisione normativa non si limita alle VPN. L'ETSI ha avviato il processo di approvazione per un totale di 17 standard europei a supporto della legislazione CRA. Questi standard riguardano anche altre soluzioni digitali di uso quotidiano, come gestori di password, software antivirus, assistenti domestici intelligenti, giocattoli connessi e dispositivi indossabili. Il risultato di questi sforzi sarà un mondo digitale significativamente più sicuro e resiliente per tutti i consumatori europei.