La CISA abandona los resúmenes semanales de vulnerabilidades para centrarse en el enfoque basado en el riesgo

La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) ha anunciado que dejará de publicar sus boletines semanales sobre vulnerabilidades, con el fin de alinear sus acciones con la necesidad de que las entidades adopten una gestión basada en el riesgo en lugar de centrarse únicamente en la gravedad. Esta decisión surge en un contexto donde el número de fallos de seguridad reportados ha aumentado considerablemente, impulsado en parte por el uso de herramientas de inteligencia artificial por parte de los creadores de software para detectar fallas.

Ante este incremento masivo de reportes y la acumulación de problemas pendientes, los analistas y expertos señalan que las empresas a menudo se ven abrumadas al intentar atender todos los avisos basándose solo en las puntuaciones de gravedad. La propia CISA indicó que los nuevos registros seguirán estando disponibles en plataformas externas, y aconsejó consultar su catálogo de vulnerabilidades explotadas conocidas, sus alertas de ciberseguridad y las notificaciones de los propios proveedores para obtener información orientada al riesgo real.

Diversos especialistas han expresado opiniones divididas sobre la medida. Mientras algunos consideran positivo priorizar el contexto del riesgo frente al volumen inmanejable de fallos y a las tácticas automatizadas de los atacantes —quienes suelen explotar únicamente un subconjunto reducido de todas las fallas disponibles—, otros advierten que la eliminación del boletín semanal representa un cambio repentino que podría dificultar la labor de los equipos de seguridad más pequeños al quitarles una fuente centralizada y confiable de revisión temprana.