Nell’ambito del voto elettronico, la Posta punta sulla trasparenza: dal 2021 tutti i componenti rilevanti ai fini della sicurezza del suo sistema di voto elettronico sono accessibili pubblicamente. Attraverso un programma di bug bounty a tempo indeterminato, specialiste e specialisti di tutto il mondo possono testare il sistema in qualsiasi momento, con la prospettiva di ricevere premi di natura economica per le vulnerabilità confermate.
Inoltre, la Posta svolge periodicamente cosiddetti test di intrusione pubblici. In un arco di tempo ben definito, hacker etici cercano di penetrare il sistema in modo mirato. Questi test sono previsti per legge e costituiscono una componente chiave del progetto pilota per il voto elettronico nei Cantoni. Il test di intrusione pubblico, della durata di più settimane, fa parte del programma di community sul voto elettronico della Posta.
Da oggi e fino al 24 agosto, la Posta metterà a disposizione su pit.evoting.ch la propria piattaforma per il voto elettronico per poterla sottoporre ad attacchi mirati. Sarà testata l’ultima versione del sistema, quella che verrà impiegata per le votazioni e le elezioni a partire dal 2026. Specialiste e specialisti IT di tutto il mondo potranno simulare la procedura di voto, individuare eventuali falle di sicurezza e tentare di penetrare nell’urna elettronica. Per la prima volta potranno mettere alla prova anche la funzionalità dei campi di testo liberi, i cosiddetti «write-in», utilizzabili nelle elezioni in cui le elettrici e gli elettori possono inserire autonomamente i nomi delle candidate o dei candidati desiderati, se non figurano sulle liste ufficiali.
Per le vulnerabilità confermate la Posta offre come ricompensa premi fino a 250’000 franchi. Per chi segnala le prime tre falle confermate è previsto, oltre al premio, un bonus di 3000 franchi per falla. Dal lancio del programma bug bounty per il voto elettronico, la Posta ha già corrisposto a hacker etici oltre 220’000 franchi per le lacune confermate.
I test di intrusione pubblici sono uno strumento collaudato della cibersicurezza. Vanno a integrare gli audit interni ed esterni con verifiche indipendenti della community IT globale.
Test pubblici come il PIT ed eventi come il BärnHäckt sono elementi importanti del progetto pilota per il voto elettronico e della strategia di cibersicurezza della Posta. Ma sono solo una parte di un approccio alla sicurezza globale:
Al termine del test di intrusione, la Posta pubblicherà come negli anni precedenti un rapporto in cui informa se e come il sistema ha resistito agli attacchi.