Patrick PilotteAll’inizio di questo mese, la Cybersecurity and Infrastructure Security Agency (CISA) ha presentato una serie di priorità fondamentali che guideranno il Programma Common Vulnerabilities and Exposures (CVE) nei prossimi anni. I nuovi obiettivi rappresentano un netto cambiamento rispetto alla precedente attenzione del Programma sulla crescita, orientandosi verso la qualità in termini di dati, partnership, amministrazione e comunicazioni.
Di seguito, forniamo alcune informazioni di base sul Programma CVE ed evidenziamo i cambiamenti principali della sua visione generale. Offriamo inoltre approfondimenti e commenti da parte dello specialista in sicurezza operativa di Devolutions.
Il Programma CVE
Lanciato nel 1999, il Programma CVE — finanziato dalla CISA e gestito dalla MITRE Corporation — si è evoluto fino a diventare lo standard globale per identificare, definire, catalogare e divulgare pubblicamente le vulnerabilità di sicurezza informatica.
Una componente fondamentale del programma è un’ampia rete mondiale di CVE Numbering Authorities (CNA). Queste organizzazioni selezionate sono autorizzate ad assegnare identificatori univoci alle vulnerabilità appena scoperte e a pubblicare le relative informazioni nella CVE List come record CVE ufficiale.
Siamo orgogliosi di sottolineare che nel 2021 Devolutions è stata autorizzata dal Programma CVE come CNA per i nostri prodotti Remote Desktop Manager e Devolutions Server.
Dalla crescita alla qualità
L’ultimo decennio è stato definito come la “era della crescita” del Programma CVE, durante la quale l’iniziativa ha notevolmente ampliato il proprio impatto e la propria influenza a livello globale. In questo periodo, il numero di CNA è passato da poche decine a più di 460 attuali.
Ora, la CISA ha segnalato che il futuro del Programma CVE sarà caratterizzato da un’attenzione rivolta alla qualità. Gli impegni proposti e i punti cardine di questa ambiziosa nuova “era della qualità” comprendono:
- Espansione delle partnership con la community: la CISA sfrutterà le partnership per ottenere una migliore rappresentanza di organizzazioni e governi internazionali, del mondo accademico, dei fornitori di strumenti per le vulnerabilità, dei consumatori di dati, dei ricercatori di sicurezza, della tecnologia operativa e delle community open source.
- Sponsorizzazione governativa: la CISA riconosce che il programma CVE è un bene pubblico fondamentale che richiede un investimento costante, pur mantenendo al contempo la neutralità per evitare pregiudizi (reali o percepiti). Per questo motivo, la CISA si concentrerà sulla valutazione di possibili meccanismi di finanziamento diversificato che soddisfino tali aspettative e standard.
- Modernizzazione: la CISA si impegna ad accelerare l’implementazione di miglioramenti tecnologici, come l’automazione, per potenziare i servizi CNA, espandere il supporto API ai consumatori di dati a valle e migliorare CVE.org.
- Trasparenza e comunicazioni: la CISA continuerà a raccogliere e ad adottare attivamente il feedback della community nel Programma CVE, comunicando regolarmente traguardi e metriche a tutte le parti interessate, quando opportuno.
- Miglioramenti nella qualità dei dati: la CISA collaborerà con il settore e con i governi internazionali per creare un nuovo standard, che comprenda meccanismi federati per scalare l’enrichment dei dati sulle vulnerabilità ed espandere la capacità dell’Authorized Data Publisher (ADP).
- Miglioramenti nel ruolo di CNA of Last Resort (LR): la CISA darà priorità ai miglioramenti in termini di trasparenza, visibilità, reattività ed enrichment dei dati in tutti i record CVE. Ciò avverrà insieme a un’attenzione rivolta alla promozione della federazione del Programma CVE, sotto forma di crescita della community dei CNA.
Approfondimenti e consigli dal nostro team di sicurezza:
Devolutions ha sempre dato priorità a una gestione matura della sicurezza e delle vulnerabilità, come dimostrano il conseguimento delle certificazioni SOC 2 Type II e SOC 3, la vittoria di diversi Global InfoSec Award, l’adempimento scrupoloso delle nostre responsabilità come CNA del Programma CVE e molti altri traguardi e riconoscimenti documentati nel nostro Trust Center.
Siamo lieti di constatare che il Programma CVE si impegna a migliorare la qualità su più livelli. Se questa visione verrà attuata in modo efficace e fedele nei prossimi anni, contribuirà a consolidare ulteriormente il Programma CVE come standard di riferimento per la trasparenza, il coordinamento e una gestione efficace delle vulnerabilità a livello mondiale.
In particolare, speriamo di vedere miglioramenti significativi in termini di velocità e coerenza nell’assegnazione e nella pubblicazione dei record CVE. Questo aspetto è particolarmente cruciale, dato che un numero crescente di organizzazioni si affida ad ambienti SaaS e cloud, dove le vulnerabilità possono avere un impatto diffuso. Una collaborazione più solida tra CNA, fornitori e ricercatori sarà inoltre fondamentale per rendere il Programma CVE ancora più efficace per organizzazioni di ogni dimensione, incluse le PMI, che spesso non dispongono di risorse dedicate alla sicurezza.
Riteniamo che questa proposta di evoluzione del programma CVE rappresenti un passo avanti positivo per l’intera community della cybersecurity. In Devolutions, restiamo impegnati a fare la nostra parte come CNA e a contribuire a un ecosistema digitale più sicuro per tutti.