CISA apela à criação de programas de divulgação de vulnerabilidades

A CISA e quatro agências internacionais de cibersegurança publicaram um conjunto de orientações que incentivam fabricantes de software e fornecedores de serviços digitais a implementarem programas formais de divulgação coordenada de vulnerabilidades (CVD, na sigla em inglês).

O documento, desenvolvido em conjunto com a National Security Agency dos Estados Unidos, o Japan Computer Emergency Response Team Coordination Center, o National Cyber Security Centre dos Países Baixos e o National Cyber Security Centre do Reino Unido, descreve as boas práticas para receber, analisar e responder a vulnerabilidades reportadas por investigadores de segurança.

Segundo as agências, um programa estruturado de divulgação coordenada permite às organizações melhorar os processos de gestão de vulnerabilidades, avaliar de forma mais eficaz os riscos identificados e tomar decisões que reforcem a segurança dos seus produtos e serviços.

As orientações abrangem software, hardware e equipamentos de rede, defendendo a criação de canais públicos que facilitem a comunicação entre fabricantes e a comunidade de investigação em segurança.

A CISA sublinha que esta iniciativa se enquadra na estratégia Secure by Design, que promove o desenvolvimento de produtos tecnologicamente mais seguros e incentiva os fabricantes a assumirem uma maior responsabilidade na identificação e correção de vulnerabilidades.

“A divulgação coordenada de vulnerabilidades é um elemento fundamental para construir um ecossistema de software mais seguro”, afirma Chris Butera, Acting Executive Assistant Director for Cybersecurity da CISA. “As práticas descritas neste guia ajudam a proteger os clientes, reforçam a segurança dos produtos e apoiam a iniciativa Secure by Design, incentivando as empresas a serem mais transparentes e responsáveis na forma como desenvolvem e mantêm as suas tecnologias”.

As agências alertam ainda que a crescente utilização de inteligência artificial na descoberta de vulnerabilidades está a acelerar o ritmo com que novas falhas são identificadas, tornando ainda mais importante a existência de processos formais para gerir os relatórios recebidos e garantir uma resposta coordenada entre investigadores e fabricantes.