Die US-Regierung hat die Mittel ausgeweitet, um sicherzustellen, dass es keine Kontinuitätsprobleme mit dem kritischen Common Vulnerabilities and Exposures (CVE)-Programm gibt, sagte CISA. Die US-amerikanische Cybersicherheitsbehörde sagte: „CVE-Programme sind für die Cyber-Community von entscheidender Bedeutung und haben für CISA höchste Priorität. Gestern Abend hat CISA eine Optionsfrist im Vertrag festgelegt, um sicherzustellen, dass es zu keiner Unterbrechung wichtiger CVE-Dienste kommt. Wir danken unseren Partnern und Interessenvertretern für ihre Geduld.“
Zuvor hatte MITRE-Vizepräsident Yosry Barsoum gewarnt, dass die staatliche Finanzierung von CVE- und CWE-Programmen heute (16. April) ausläuft, was zu weitreichenden Störungen in der gesamten Cybersicherheitsbranche führen könnte.
„Wenn der Dienst unterbrochen wird, erwarten wir mehrere Auswirkungen auf CVE, einschließlich nationaler Schwachstellendatenbanken und Bulletins, Tool-Anbieter, Vorfallreaktionsmaßnahmen und Verschlechterung verschiedener kritischer Infrastrukturen“, sagte Barsoum.
MITRE unterhält CVE, ein weit verbreitetes Programm, das Genauigkeit, Klarheit und gemeinsame Standards bei der Erörterung von Sicherheitslücken bietet und von der National Cybersecurity Division des US-Heimatschutzministeriums (DHS) finanziert wird.
Neue CVE-Stiftung
Vor der Ankündigung von CISA kündigte eine Gruppe von CVE-Vorstandsmitgliedern die Gründung der CVE Foundation an, einer gemeinnützigen Organisation, die die Unabhängigkeit des CVE-Programms gewährleisten soll, da MITRE warnt, dass die US-Regierung ihren Vertrag zur Verwaltung des Programms möglicherweise nicht verlängern wird.
„Seit seiner Einführung wurde das CVE-Programm von der US-Regierung finanziert und durch Verträge überwacht und verwaltet“, heißt es in einer Pressemitteilung am Mittwoch. „Während diese Struktur die Entwicklung des Programms unterstützt hat, hat sie bei CVE-Vorstandsmitgliedern seit langem Bedenken geweckt, dass die Nachhaltigkeit und Neutralität einer global abhängigen Ressource, die an eine einzige staatliche Finanzierungsagentur gebunden ist, gefährdet würde.“
Im vergangenen Jahr haben die am Start Beteiligten eine Strategie entwickelt, um das Programm auf diese spezielle Stiftung zu übertragen, „einzelne Fehlerquellen im Ökosystem des Schwachstellenmanagements“ zu beseitigen und sicherzustellen, dass „das CVE-Programm ein weltweit vertrauenswürdiges, von der Community getragenes Programm bleibt“.
Während die CVE Foundation plant, in den kommenden Tagen weitere Informationen zu ihren Übergangsplänen zu veröffentlichen, bleiben die nächsten Schritte unklar, insbesondere angesichts der Tatsache, dass CISA bestätigt hat, dass die Finanzierung für den MITRE-Vertrag verlängert wurde.
Die Agentur der Europäischen Union für Cybersicherheit (ENISA) hat außerdem die Europäische Schwachstellendatenbank (EUVD) ins Leben gerufen, die „einen Multi-Stakeholder-Ansatz verfolgt, indem sie öffentlich verfügbare Schwachstelleninformationen aus mehreren Quellen sammelt“.
Verwandte Artikel:
Das CVE-Programm, das zur Verfolgung von Sicherheitslücken eingesetzt wird, steht kurz davor, die Bundesfinanzierung zu verlieren
Die CVE Foundation gab bekannt, dass sie nach Finanzierungskürzungen unabhängig weitergeführt wird