Νέο πλαίσιο «Quality Era» για πιο αξιόπιστες…

Η συνοδευτική εικόνα αποτελεί ενδεικτική εικονογράφηση AI και όχι πραγματική φωτογραφία ή ακριβή απεικόνιση συστήματος.

Η αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) παρουσίασε το πλαίσιο «CVE Program: Establishing a Quality Era Framework», με στόχο να βελτιώσει την ακρίβεια, τη συνέπεια και τη χρησιμότητα των εγγραφών Common Vulnerabilities and Exposures. Η πρωτοβουλία έρχεται σε μια περίοδο κατά την οποία ο όγκος των δημοσιοποιημένων ευπαθειών αυξάνεται γρήγορα και τα εργαλεία αυτοματοποίησης, συμπεριλαμβανομένης της τεχνητής νοημοσύνης, επιταχύνουν τόσο την ανακάλυψη όσο και την επεξεργασία τους.

Το CVE λειτουργεί ως κοινό λεξιλόγιο για γνωστές ευπάθειες λογισμικού και υλικού. Κάθε αναγνωριστικό επιτρέπει σε κατασκευαστές, ερευνητές, διαχειριστές συστημάτων και προϊόντα ασφαλείας να αναφέρονται στο ίδιο πρόβλημα χωρίς ασάφειες. Η αξία του συστήματος, όμως, δεν εξαρτάται μόνο από τον αριθμό των εγγραφών. Ελλιπή πεδία, καθυστερημένες ενημερώσεις ή ασυνεπείς περιγραφές μπορούν να δυσκολέψουν την ιεράρχηση των ενημερώσεων ασφαλείας.

Σύμφωνα με το έγγραφο, έως τις 18 Σεπτεμβρίου είχαν δημοσιευθεί περισσότερες από 67.000 νέες εγγραφές CVE μέσα στο 2026, ενώ η πρόβλεψη για ολόκληρο το έτος πλησιάζει τις 96.000. Παράλληλα, η National Vulnerability Database του NIST είχε καταγράψει αύξηση 263% στις υποβολές μεταξύ 2020 και 2025. Οι αριθμοί αυτοί εξηγούν γιατί η CISA μεταφέρει την έμφαση από τη φάση της ταχείας επέκτασης σε μια «Εποχή Ποιότητας».

Το νέο πλαίσιο οργανώνεται γύρω από τέσσερις αλληλένδετους άξονες. Ο πρώτος είναι η διαφανής και αποτελεσματική διακυβέρνηση του προγράμματος. Ο δεύτερος αφορά την ευρεία διεθνή συμμετοχή των CVE Numbering Authorities, των ερευνητών, των προμηθευτών και των δημόσιων φορέων. Ο τρίτος εστιάζει σε ανθεκτική υποδομή δεδομένων, με αξιόπιστα API, σχήματα και μηχανισμούς επικύρωσης. Ο τέταρτος αφορά το ίδιο το περιεχόμενο των εγγραφών, το οποίο πρέπει να είναι πλήρες, ακριβές, έγκαιρο και αξιοποιήσιμο.

Η CISA προτείνει επίσης μετρήσιμους δείκτες: χρόνο λήψης αποφάσεων, διαθεσιμότητα υπηρεσιών, απόδοση των API, συχνότητα σφαλμάτων επικύρωσης, ποσοστό εγγραφών που καλύπτουν συγκεκριμένα κριτήρια ποιότητας και αριθμό διορθώσεων μετά τη δημοσίευση. Στις γραμμές δράσης περιλαμβάνονται η αναβάθμιση των τεχνικών συστημάτων, η βελτίωση της ποιότητας δεδομένων, η ενίσχυση των συνεργασιών και η μεγαλύτερη διαφάνεια.

Για τις ομάδες κυβερνοασφάλειας, η πρακτική σημασία είναι άμεση: καλύτερες εγγραφές CVE μπορούν να κάνουν αποτελεσματικότερη τη συσχέτιση ειδοποιήσεων, τη διαχείριση περιουσιακών στοιχείων και την προτεραιοποίηση διορθώσεων. Το πλαίσιο δεν αποτελεί ένα μεμονωμένο προϊόν ή μια άμεση αλλαγή στη μορφή όλων των εγγραφών. Είναι ένας οδικός χάρτης ωρίμανσης, τον οποίο η CISA σκοπεύει να εξειδικεύσει με επόμενες δημοσιεύσεις για την τεχνολογία, την υποδομή και τον εκσυγχρονισμό των δεδομένων.

Πηγή: CISA — CVE Program: Establishing a Quality Era Framework, CVE Program — ανακοίνωση 24 Σεπτεμβρίου 2026, Industrial Cyber — ανεξάρτητη κάλυψη 25 Σεπτεμβρίου 2026.