La CISA presenta un plan de mejora para el programa CVE

La Agen­cia de Ci­ber­se­gu­ri­dad e In­fra­es­truc­tu­ra di­fun­dió un do­cu­men­to de aná­li­sis que de­ta­lla una es­tra­te­gia para op­ti­mi­zar el fun­cio­na­mien­to del sis­te­ma de Vul­ne­ra­bi­li­da­des y Ex­po­si­cio­nes Co­mu­nes (CVE), un acuer­do que es­tu­vo cerca de fi­na­li­zar el año an­te­rior antes de re­ci­bir una ex­ten­sión de úl­ti­mo mo­men­to. Este es­cri­to in­tro­du­ce los fun­da­men­tos de una nueva etapa orien­ta­da a la ca­li­dad, di­se­ña­da para hacer fren­te al no­ta­ble in­cre­men­to en la can­ti­dad de re­gis­tros de fa­llas de se­gu­ri­dad, im­pul­sa­do tam­bién por la in­te­li­gen­cia ar­ti­fi­cial.

El plan pre­sen­ta­do busca ele­var los es­tán­da­res de in­for­ma­ción me­dian­te cua­tro pi­la­res fun­da­men­ta­les: una di­rec­ción más clara y trans­pa­ren­te, la par­ti­ci­pa­ción ac­ti­va de la co­mu­ni­dad mun­dial de soft­wa­re, bases de datos téc­ni­cas más só­li­das y con­te­ni­dos con­fia­bles en cada re­gis­tro. A pesar de que la agen­cia re­afir­ma su com­pro­mi­so de man­te­ner y guiar el pro­gra­ma como lo ha hecho du­ran­te dé­ca­das, al­gu­nos es­pe­cia­lis­tas han ma­ni­fes­ta­do dudas sobre su li­de­raz­go de­bi­do a re­duc­cio­nes pre­su­pues­ta­rias y han se­ña­la­do que el do­cu­men­to omite pro­ble­mas crí­ti­cos, como la ca­ren­cia de iden­ti­fi­ca­do­res de pro­gra­mas le­gi­bles por má­qui­nas en gran parte de los nue­vos avi­sos.

Di­ver­sos ex­per­tos con­sul­ta­dos ex­pre­sa­ron opi­nio­nes di­vi­di­das sobre la ini­cia­ti­va. Mien­tras al­gu­nos va­lo­ran que se re­co­noz­can los pro­ble­mas his­tó­ri­cos de ca­li­dad y la ne­ce­si­dad de me­jo­rar la go­ber­nan­za y la in­fra­es­truc­tu­ra, otros con­si­de­ran que el texto fun­cio­na más como una base para fu­tu­ras re­glas que como un marco de ac­ción de­fi­ni­ti­vo, y echan en falta una mayor trans­pa­ren­cia en las mé­tri­cas ac­tua­les de éxito.