لیندزی سرکوفنیک (Lindsey Cerkovnik)، یکی از مقامات ارشد آژانس امنیت سایبری و زیرساخت (CISA) که دفتر او بر یکی از کلیدی‌ترین سیستم‌های جهانی برای ردیابی آسیب‌پذیری‌های نرم‌افزاری نظارت دارد، پس از حدود شش سال فعالیت، این سازمان را ترک می‌کند.
نقش کلیدی در اکوسیستم CVE
سرکوفنیک که رئیس بخش پاسخ به آسیب‌پذیری‌ها و هماهنگی در CISA بود، در یک پست در لینکدین از جدایی خود خبر داد. خروج او از این جایگاه به دلیل نظارت بر برنامه Common Vulnerabilities and Exposures (CVE) اهمیت ویژه‌ای دارد. این برنامه زیربنای ردیابی آسیب‌پذیری‌ها در سطح جهان است و دولت‌ها و کسب‌وکارهای متعددی برای مدیریت ریسک‌های امنیتی به آن وابسته هستند.
سال گذشته، نزدیک شدن به تاریخ انقضای قرارداد فدرال پشتیبان این چارچوب، نشان داد که این منبع حیاتی تا چه اندازه به حمایت‌های مستمر ایالات متحده وابسته است. اگرچه CISA با تمدید قرارداد از توقف جریان داده‌ها جلوگیری کرد، اما این اتفاق باعث شد درخواست‌ها برای حمایت قانونی و رسمی‌تر کنگره افزایش یابد؛ به‌ویژه در شرایطی که تحقیقات مبتنی بر هوش مصنوعی (AI-assisted research)، حجم نقص‌های امنیتی را که سازمان‌ها باید ارزیابی کنند، به شدت افزایش داده است.
اولویت‌بندی در مواجهه با تهدیدات
سیستم CVE شناسه‌های استانداردی را به نقص‌های نرم‌افزاری اختصاص می‌دهد تا پژوهشگران، فروشندگان و دولت‌ها بتوانند یک مشکل واحد را به طور یکسان ردیابی کنند. سرکوفنیک در نشست‌های اخیر، از جمله در کنفرانس Black Hat، تأکید کرده بود که اگرچه برنامه CVE می‌تواند با حجم بالای کشفیات جدید پیش برود، اما چالش اصلی، کمک به سازمان‌ها برای تشخیص آسیب‌پذیری‌هایی است که تهدید جدی محسوب می‌شوند و باید در اولویت اصلاح قرار گیرند.
سوابق و دستاوردهای مدیریتی
سرکوفنیک در می ۲۰۲۱ برای مدیریت آسیب‌پذیری‌های سیستم‌های کنترل صنعتی (ICS) به CISA پیوست و سپس در سال ۲۰۲۳ به ریاست بخش پاسخ به آسیب‌پذیری‌ها رسید. از جمله دستاوردهای او در این سازمان می‌توان به موارد زیر اشاره کرد:
- مدیریت پاسخ به بحران Log4Shell
- راه‌اندازی پلتفرم هماهنگ برای افشای آسیب‌پذیری‌ها (Coordinated Vulnerability Disclosure)
- توسعه کاتالوگ آسیب‌پذیری‌های اکسپلویت شده (Known Exploited Vulnerabilities – KEV)
کاتالوگ KEV به سازمان‌ها کمک می‌کند تا با شناسایی نقص‌هایی که پیش از این توسط هکرها مورد استفاده قرار گرفته‌اند، اولویت‌بندی اصلاحات خود را بهینه کنند. خروج او در حالی صورت می‌گیرد که فشار برای رفع سریع نقص‌های امنیتی (مانند آسیب‌پذیری‌های اخیر در زبان PHP) به دلیل استفاده گسترده از آن‌ها در وب‌سایت‌های جهانی، افزایش یافته است.
