CISA spinge i fornitori verso una divulgazione coordinata delle vulnerabilità più disciplinata

CISA e le agenzie alleate hanno pubblicato nuove linee guida sulla divulgazione coordinata delle vulnerabilità, con l’obiettivo di aiutare i fornitori a gestire le segnalazioni in modo più coerente. Le linee guida sono arrivate poco dopo che la stessa CISA ha avuto difficoltà a ricevere una segnalazione seria, il che sembra aver influenzato l’enfasi su processi migliori di ricezione e risposta. L’obiettivo è garantire che i ricercatori possano segnalare le vulnerabilità senza confusione, vicoli ciechi o responsabilità poco chiare. Questo è importante perché la gestione moderna delle vulnerabilità non riguarda più solo l’applicazione di una patch a un singolo bug; riguarda il triage, la comunicazione ed essere raggiungibili quando viene scoperta una falla critica. Con l’aumento del numero di scoperte da parte di ricercatori e strumenti di IA, la disciplina nella divulgazione da parte dei fornitori diventa un vero controllo di sicurezza. Programmi CVD migliori dovrebbero ridurre la frustrazione dei ricercatori e abbreviare il tempo necessario alla correzione per i clienti.

Fonti

• CISA integra le proprie lezioni, conquistate con fatica, nelle linee guida sulla divulgazione coordinata delle vulnerabilità — Help Net Security
• Gli Stati Uniti: CISA aggiunge i difetti di iCagenda e Balbooa Forms al catalogo delle vulnerabilità sfruttate note — Security Affairs
• Gli Stati Uniti: CISA aggiunge KNX Association KNX Protocol Connection Authorization Option 1 e le vulnerabilità di Oracle al catalogo delle vulnerabilità sfruttate note — Security Affairs