آژانس امنیت زیرساخت و امنیت سایبری آمریکا (CISA) در یک مقاله سفید (White Paper) جدید، برنامه‌ای جامع برای بهبود برنامه شناسه‌های مشترک آسیب‌پذیری و اکسپوزور (CVE) را منتشر کرد. این اقدام در حالی صورت می‌گیرد که حجم شناسه‌های CVE به دلیل افزایش سرعت کشف آسیب‌پذیری‌ها و تاثیرات هوش مصنوعی، رشد چشمگیری داشته است.
انتقال به «عصر کیفیت»
طبق اعلام CISA، برنامه CVE تاکنون در «عصر رشد» بوده است. آمارها نشان می‌دهد که تعداد ثبت‌های CVE در پایگاه داده ملی آسیب‌پذیری‌های NIST بین سال‌های ۲۰۲۰ تا ۲۰۲۵، رشد ۲۶۳ درصدی داشته است. این حجم بالای داده‌ها، چالش‌های کیفی جدی را در اکوسیستم ایجاد کرده است.
کریس بوترا، مدیر اجرایی موقت امنیت سایبری CISA، تاکید کرد که این سازمان متعهد است با بهره‌گیری از بازخوردهای جامعه امنیتی، حاکمیت (Governance) و مشارکت در این برنامه را تقویت کند تا از یک رشد صرف به سمت «عصر کیفیت» حرکت کند.
محورهای چهارگانه بهبود داده‌ها
برنامه جدید CISA بر چهار محور اصلی برای ارتقای کیفیت داده‌ها تمرکز دارد:
- حاکمیت شفاف و موثر: بهبود ساختار مدیریتی برنامه.
- مشارکت گسترده: جذب فعالانه جامعه جهانی توسعه‌دهندگان نرم‌افزار.
- زیرساخت داده‌ای: به‌روزرسانی ابزارهای عملیاتی برای پشتیبانی از توابع CVE.
- محتوای قابل اعتماد: اطمینان از صحت و کامل بودن سوابق هر آسیب‌پذیری.
نقدها و چالش‌های باقی‌مانده
با وجود این برنامه، برخی از متخصصان حوزه امنیت نسبت به اجرای آن تردید دارند. برای مثال، برخی کارشناسان اشاره کرده‌اند که رکوردهای ناقص یا ناسازگار در CVE، باعث ایجاد بار کاری اضافی برای توسعه‌دهندگان و ابزارهای امنیتی می‌شود تا بتوانند تاثیر واقعی یک آسیب‌پذیری را تشخیص دهند.
همچنین، منتقدان اشاره کرده‌اند که یکی از بزرگترین مشکلات فعلی، نبود شناسه‌های نرم‌افزاری ماشین‌خوان (Machine-readable identifiers) در درصد زیادی از رکوردهای جدید است؛ موضوعی که در مقاله سفید CISA به طور کافی به آن پرداخته نشده است. برخی دیگر نیز معتقدند که این سند بیشتر یک چارچوب اولیه است تا یک برنامه اجرایی کامل و خواستار شفافیت بیشتر در معیارهای سنجش موفقیت (Metrics) هستند.
