آژانس امنیت زیرساخت و امنیت سایبری ایالات متحده (CISA) اخیراً در یک مقاله سفید (Whitepaper)، چهار «بُعد کیفی» را برای بهبود برنامه Common Vulnerabilities and Exposures (CVE) معرفی کرده است. این برنامه وظیفه فهرست‌بندی و توصیف آسیب‌پذیری‌های نرم‌افزاری شناسایی شده در سطح جهان را بر عهده دارد.
چالش حجم داده‌ها در عصر هوش مصنوعی
برنامه CVE به عنوان یکی از معتبرترین منابع عمومی در حوزه امنیت سایبری شناخته می‌شود که توسط متخصصان دفاعی در سراسر جهان مورد استفاده قرار می‌گیرد. با این حال، ظهور عصر «Vulnpocalypse» یا رشد شدید شناسایی نقص‌های نرم‌افزاری به کمک هوش مصنوعی (AI)، فشار بی‌سابقه‌ای را بر این سیستم وارد کرده است. پیش‌بینی می‌شود در سال جاری حدود ۹۶,۰۰۰ مورد CVE شناسایی شود که این رقم تقریباً یک‌چهارم کل آسیب‌پذیری‌های گزارش شده از سال ۱۹۹۹ تاکنون است.
ابعاد چهارگانه ارتقای کیفیت
CISA قصد دارد با ورود به آنچه «عصر کیفیت» می‌نامد، بر سه محور قابلیت اطمینان (Reliability)، پاسخ‌گویی (Responsiveness) و کیفیت داده‌های آسیب‌پذیری تمرکز کند. چهار بُعد کیفی تعریف شده در این سند عبارتند از:
- حاکمیت برنامه (Program Governance)
- مشارکت اکوسیستم (Ecosystem Participation)
- زیرساخت داده‌ها (Data Infrastructure)
- محتوای رکورد CVE (CVE Record Content)
نقدها و چالش‌های عملیاتی
با وجود این برنامه‌ریزی، برخی کارشناسان معتقدند که CISA با کمبود منابع مواجه است و رویکرد فعلی برای مقابله با حجم بالای داده‌ها کافی نیست. یکی از چالش‌های اصلی، موضوع غنی‌سازی داده‌ها (Enrichment) است. در حال حاضر تنها حدود ۲۰ درصد از آسیب‌پذیری‌ها غنی‌سازی می‌شوند تا معیارهایی مانند Common Vulnerability Severity Score (CVSS) برای آن‌ها تعیین شود؛ معیاری که اکثر پلتفرم‌های مدیریت آسیب‌پذیری برای اولویت‌بندی اقدامات خود به آن وابسته هستند.
همچنین، مسئله سازگاری (Consistency) در امتیازدهی مطرح است. در حال حاضر ممکن است یک آسیب‌پذیری واحد، امتیازات متفاوتی از سوی مایکروسافت، سازمان CVE یا نهادهای اروپایی دریافت کند که این امر باعث سردرگمی در تحلیل ریسک و مدیریت Patching می‌شود.
