Le gouvernement américain a récemment annoncé une baisse de financement pour la base de données communes des vulnérabilités et des expositions (CVE), cruciale pour la cybersécurité. Toutefois, l’Agence de sécurité de la cybersécurité et de l’infrastructure (CISA) a confirmé que cette base sera financée pendant encore 11 mois au moins, soulagant ainsi les professionnels du secteur.
Une baisse initiale puis une prolongation
Mercredi matin, il a été rapporté que le financement de CVE était en déclin. Cette situation est survenue après qu’en mai dernier, l’organisation à but non lucratif Miter Corporation ait indiqué que son soutien financier expirerait imminemment.
Le ministère américain de la Sécurité intérieure finance ces initiatives. En réaction à cette menace d’interruption, CISA avait déjà affirmé chercher des moyens d’atténuer l’impact sur les services liés à CVE.
Prolongation : 11 mois supplémentaires
CISA a précisé mercredi soir qu’elle avait exécuté une option contractuelle permettant un prolongement du service CVE. Ce délai supplémentaire allant jusqu’à 11 mois n’assure cependant pas sa continuité au-delà. Les responsables semblent vouloir utiliser ce temps pour envisager soit une fermeture éventuelle soit une transition vers un autre gestionnaire.
L’importance vitale du système CVE
La base CVE joue un rôle central dans l’écosystème global de sécurité informatique. De nombreux systèmes d’exploitation comme iOS ou MacOS s’appuient régulièrement sur ses annonces pour corriger des vulnérabilités critiques.
Les chercheurs en cybersécurité utilisent cet outil afin d’éviter les doublons dans leurs travaux tout en collaborant efficacement sur divers problèmes techniques. Son statut standardise également les références aux vulnérabilités dans le domaine sécuritaire.
Vers quel avenir ?
Avec ce report temporaire voté par CISA, le futur reste incertain concernant le financement pérenne des services liés à CVE. Alors que l’écosystème numérique continue d’évoluer avec diverses menaces émergentes, maintenir un registre fiable et accessible des vulnérabilités restera essentiel face au défi croissant auquel fait face chaque acteur du secteur technologique aujourd’hui.
À la suite des premières nouvelles concernant la diminution potentielle du soutien financier, la communauté s’est largement mobilisée contre cette décision néfaste pour la sécurité générale.
L’ancien chef de CISA, Jean Easterley, partage son inquiétude sur LinkedIn : « La fermeture potentielle de la base de données CVE aurait de graves implications pour les risques commerciaux et la sécurité nationale ». Il compare son importance à celle d’un système décimal Dewey : « Les professionnels essaieraient alors de défendre vos systèmes sans savoir exactement quelles menaces existent ni où elles se trouvent ».
De plus, Brian Martin, historien spécialisé dans les vulnérabilités informatiques, évoque « un effet en cascade immédiat » qui nuirait considérablement à plusieurs programmes mondiaux dédiés à gérer ces obligations sécuritaires.
