La CISA retira el boletín semanal sobre vulnerabilidades en el marco de un cambio de enfoque basado en el riesgo
La Agencia de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) ha comunicado la eliminación definitiva de su boletín semanal de vulnerabilidades. Esta decisión se hará efectiva a finales de septiembre y responde a una transformación hacia un modelo de gestión enfocado en la evaluación de riesgos.
El boletín semanal recopilaba resúmenes sobre fallos de seguridad recientes, incluyendo detalles como el nombre del producto, la descripción, la fecha de publicación, la gravedad, la puntuación CVSS, el identificador CVE y los datos sobre parches cuando estaban disponibles. No obstante, al agrupar miles de fallos ordenados por producto y gravedad sin ofrecer directrices de priorización, la gran cantidad de alertas podía saturar a los defensores encargados de la seguridad.
La medida se encuentra en consonancia con la Directiva Operativa Vinculante (BOD) 26-04, la cual exige a las agencias federales que prioricen los fallos de seguridad basándose en el riesgo real y en la evidencia de explotación, dejando atrás la mera dependencia de las puntuaciones de gravedad. Esta directiva, lanzada a mediados de año, obligó a revisar las políticas de gestión y a dar prioridad al catálogo de Vulnerabilidades Explotadas Conocidas (KEV).
Desde su lanzamiento, el catálogo KEV se ha convertido en la referencia principal para los defensores frente a los resúmenes genéricos, debido a que se enfoca estrictamente en errores con explotación documentada en el mundo real. A pesar de la desaparición del boletín semanal, la CISA mantendrá la provisión de información sobre vulnerabilidades con enfoque en el riesgo a través de sus alertas, avisos y el propio catálogo KEV.