Tech News: CVE-programmet skifter fokus fra vækst til kvalitet

Tidligere på måneden præsenterede Cybersecurity and Infrastructure Security Agency (CISA) et sæt kerneprioriteter, der skal styre programmet Common Vulnerabilities and Exposures (CVE) i årene fremover. De nye mål er et markant brud med programmets fokus på vækst og peger i stedet mod kvalitet i data, partnerskaber, administration og kommunikation.

Nedenfor giver vi lidt baggrund om CVE-programmet og fremhæver de vigtigste ændringer i den samlede vision. Vi deler også indsigt og kommentarer fra Devolutions’ specialist i driftssikkerhed.

Om CVE-programmet

CVE-programmet blev lanceret i 1999, finansieres af CISA og administreres af MITRE Corporation. Det er blevet den globale standard for at identificere, definere, katalogisere og offentliggøre cybersikkerhedssårbarheder.

En central del af programmet er et omfattende verdensomspændende netværk af CVE Numbering Authorities (CNA’er). De udvalgte organisationer har bemyndigelse til at tildele entydige identifikatorer til nyopdagede sårbarheder og offentliggøre oplysninger om dem på CVE-listen som en officiel CVE-post.

Vi er stolte af at kunne nævne, at CVE-programmet i 2021 godkendte Devolutions som CNA for vores produkter Remote Desktop Manager og Devolutions Server.

Fra vækst til kvalitet

Det seneste årti er blevet kaldt CVE-programmets „vækstæra“, hvor initiativet øgede sin globale betydning og indflydelse markant. I samme periode steg antallet af CNA’er fra nogle få dusin til mere end 460 i dag.

Nu har CISA signaleret, at CVE-programmets vej frem bliver præget af fokus på kvalitet. De foreslåede forpligtelser og kendetegn ved den ambitiøse nye „kvalitetsæra“ omfatter:

• Udvidelse af fællesskabspartnerskaber: CISA vil bruge partnerskaber til at sikre bedre repræsentation af internationale organisationer og regeringer, den akademiske verden, leverandører af sårbarhedsværktøjer, dataforbrugere, sikkerhedsforskere, operationel teknologi og open source-fællesskaber.
• Statslig sponsorering: CISA anerkender, at CVE-programmet er et kritisk offentligt gode, der kræver løbende investering, og at det samtidig skal bevare sin neutralitet for at undgå bias, både reel og oplevet. Derfor vil CISA fokusere på at vurdere mulige mekanismer for en mere varieret finansiering, der lever op til de forventninger og standarder.
• Modernisering: CISA er forpligtet til at sætte fart på teknologiske forbedringer som automatisering, så CNA-tjenesterne bliver bedre, API-understøttelsen til downstream-dataforbrugere udvides, og CVE.org bliver stærkere.
• Gennemsigtighed og kommunikation: CISA vil fortsat aktivt indhente og indarbejde feedback fra fællesskabet i CVE-programmet og løbende kommunikere milepæle og nøgletal til alle interessenter, når det er relevant.
• Forbedring af datakvalitet: CISA vil samarbejde med branchen og internationale regeringer om en ny standardisering, herunder fødererede mekanismer, der kan skalere berigelse af sårbarhedsdata, og om at udvide kapaciteten Authorized Data Publisher (ADP).
• Forbedringer af CNA of Last Resort (LR): CISA vil prioritere bedre gennemsigtighed, synlighed, responstid og databerigelse på tværs af alle CVE-poster. Det sker samtidig med et fokus på at fremme føderering af CVE-programmet i form af vækst i CNA-fællesskabet.

Indsigt og råd fra vores sikkerhedsteam:

Devolutions har altid prioriteret moden sikkerhed og sårbarhedshåndtering. Det ses blandt andet ved SOC 2 Type II- og SOC 3-certificeringer, flere Global InfoSec Awards, at vi omhyggeligt varetager vores ansvar som CNA i CVE-programmet, og mange andre resultater og milepæle, der er dokumenteret i vores Trust Center.

Vi er glade for at se, at CVE-programmet lover at løfte kvaliteten på flere niveauer. Hvis visionen bliver ført ud i livet effektivt og trofast i de kommende år, vil den yderligere befæste CVE-programmet som standarden for gennemsigtighed, koordinering og effektiv sårbarhedshåndtering i hele verden.

Vi håber især at se markante forbedringer i hastighed og ensartethed, når CVE-poster tildeles og offentliggøres. Det er særligt afgørende, efterhånden som flere organisationer bruger SaaS og cloud-miljøer, hvor sårbarheder kan få stor udbredelse. Et stærkere samarbejde mellem CNA’er, leverandører og forskere bliver også afgørende for at gøre CVE-programmet endnu mere effektivt for organisationer i alle størrelser, herunder SMV’er, der ofte mangler dedikerede sikkerhedsressourcer.

Vi mener, at den foreslåede udvikling af CVE-programmet er et positivt skridt for hele cybersikkerhedsfællesskabet. Hos Devolutions er vi fortsat forpligtet til at gøre vores del som CNA og bidrage til et sikrere digitalt økosystem for alle.