La industria busca normalizar la información de vulnerabilidades

Tres años después de su fundación, el Industry Consortium for Advancement of SecurityIndustry Consortium for Advancement of Security on the Internet (ICASI) acaba de lanzar la primera versión de un marco de trabajo diseñado para que los vendedores de tecnología puedan compartir datos más fácilmente sobre las vulnerabilidades de software.

La organización ha estado trabajando en CVRF (Common Vulnerability Reporting Framework), un estándar para la presentación de informes basados en HTML y de uso libre con el que se pretende normalizar la manera en que las compañías documentan e informan sobre las vulnerabilidades de software descubiertas.

Actualmente existe el sistema CVE (Common Vulnerabilities and Exposures), un sistema de identificación exclusiva de los fallos de seguridad que impide que cada vendedor utilice una nomenclatura diferente, y el CVSS (Common Vulnerability Scoring System), un sistema para calificar la severidad de la vulnerabilidad. Ahora, el CVRF es la última gran revisión de la industria.

La idea que está detrás de CVRF es que en lugar de que cada vendedor utilice su propio diseño de informes, adopte el CVRF, lo que no sólo ahorrará tiempo, sino la tarea de tener que trasladar o traducir datos de informes incompatibles.

El estándar no sólo está pensado para las compañías tecnológicas y vendedores de software, sino para cualquiera con interés en la seguridad, como los investigadores, los equipos CERT de respuesta a emergencias cibernéticas, grandes compañías o gobiernos.

El beneficio de cara a los usuarios finales se reconoce menor, aunque siempre serán capaces de encontrar y procesar la información más relevante de una manera más rápida y con mayor nivel de confianza.

Entre los miembros del ICASI pueden nombrarse a Microsoft, Cisco, Juniper Networks, Nokia, Amazon, IBM o Intel.