NIST Anuncia Mudanças nas Análises de Vulnerabilidades de Cibersegurança
O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) revelou que irá restringir as análises de vulnerabilidades no programa Common Vulnerabilities and Exposures (CVE). Essa decisão visa otimizar a comunicação entre profissionais da área e gerenciar o aumento significativo de descobertas de falhas nos últimos anos.
O que Mudará nas Análises de CVEs?
Em um comunicado divulgado na quarta-feira (15/04), o NIST informou que irá realizar análises detalhadas apenas para as vulnerabilidades que atenderem a critérios específicos. Essas condições incluem:
- Inclusão no catálogo de vulnerabilidades conhecidas e exploradas (KEV) da Agência de Cibersegurança e Segurança de Infraestrutura (CISA).
- Presença em softwares utilizados pelo governo federal dos EUA.
- Relevância para softwares críticos.
Apesar dessas mudanças, o NIST continuará a listar todas as vulnerabilidades descobertas em sua Base Nacional de Dados de Vulnerabilidades (NVD).
Aumento de Descobertas e Sobrecarga de Trabalho
O crescimento nas descobertas de vulnerabilidades foi expressivo, com um aumento de 263% entre 2020 e 2025. Essa explosão, facilitada por ferramentas de inteligência artificial, levou o NIST a repensar sua abordagem, já que a demanda por análises detalhadas ultrapassou a capacidade da instituição. Segundo o NIST, essa nova estratégia permitirá um foco maior nas CVEs que têm potencial para causar impacto generalizado.
O Que é o CVE?
CVE, que significa Common Vulnerabilities and Exposures, é uma base de dados que reúne informações sobre falhas de cibersegurança. Cada vulnerabilidade é identificada por um código específico, facilitando a comunicação entre especialistas do setor e evitando confusões em relação a problemas identificados.
Contexto e Desafios Futuros
Essa não é a primeira vez que o projeto CVE enfrenta desafios financeiros e operacionais. Em abril de 2025, a continuidade da base de dados esteve em risco devido à demora na renovação do contrato com a organização sem fins lucrativos Mitre, responsável pela administração do banco de dados. Com as novas diretrizes, o NIST espera manter a eficiência e a relevância do programa em um cenário de cibersegurança em constante evolução.
A mudança na política de análise de CVEs é um passo significativo para lidar com a crescente demanda por informações sobre vulnerabilidades, garantindo que os esforços estejam concentrados nas questões mais críticas para a segurança cibernética.
Fonte: Link original
