Financement Réactivé pour un Programme de Cybersécurité Crucial : Quelles Incertitudes Persistentes ?

Le programme de cybersécurité CVE

Le programme Common Vulnerabilities and Exposures (CVE) joue un rôle essentiel dans la cybersécurité en permettant à toute personne ou organisation de signaler une vulnérabilité de sécurité détectée dans un produit technologique. Chaque vulnérabilité signalée se voit attribuer un identifiant unique, commençant par CVE-, suivi de l’année et d’un numéro de série. Cela permet de suivre les problèmes signalés et d’encourager d’autres à mener leurs propres enquêtes pour aider les entreprises technologiques à évaluer la gravité de ces problèmes.

Lorsque des vulnérabilités nécessitent l’intervention de plusieurs entreprises technologiques, le système CVE facilite la coordination des efforts. Des géants comme Apple, Google et Microsoft comptent sur ce système pour sécuriser leurs produits. Bien que le programme soit sous l’égide du Département de la Sécurité intérieure des États-Unis, son fonctionnement est sous-traité à une entreprise privée, la MITRE Corporation.

Trois développements en 24 heures

La situation a pris un tournant lorsque MITRE a annoncé qu’un financement fédéral avait été retiré avec seulement un jour de préavis. Les professionnels de la sécurité ont rapidement exprimé leur incredulité et leur désarroi face à cette décision. Peu après, un membre du conseil d’administration du CVE a informé qu’ils avaient discrètement travaillé sur un plan d’urgence pour cette éventualité et ont annoncé la création d’une fondation CVE. Cependant, aucune information sur le financement de cette fondation n’a été fournie, bien qu’il soit spéculé qu’Apple et d’autres géants technologiques pourraient y contribuer.

Dans un développement récent, Reuters a rapporté un revirement du gouvernement, indiquant que le financement continuerait.

Des responsables américains ont déclaré qu’ils prolongeraient le soutien pendant 11 mois pour une base de données des cyberfaiblesses qui joue un rôle critique dans la lutte contre les bugs et les piratages, a déclaré un porte-parole mercredi, juste avant que le financement ne soit censé expirer […].

Ce changement de plan de dernière minute, après que l’importance du service ait été mise en lumière publiquement, illustre la confusion au sein du gouvernement alors que l’administration du président Donald Trump applique des coupes profondes dans les dépenses publiques.

Le vice-président de MITRE responsable du programme a exprimé sa gratitude à la communauté de la cybersécurité.

« Nous apprécions le soutien écrasant pour ces programmes exprimé par la communauté mondiale de la cybersécurité, l’industrie et le gouvernement au cours des dernières 24 heures », a déclaré Barsoum.

L’incertitude demeure

Malgré le soulagement immédiat, l’avenir à long terme du programme reste incertain. Aucune indication n’a été donnée pour savoir si ce revirement est temporaire ou permanent, et on ignore si le conseil du CVE poursuivra ses plans pour une fondation à but non lucratif indépendante afin d’assurer un financement adéquat.

Accessoires mis en avant

Photo par Roman Synkevych sur Unsplash

Qu’est-ce que le programme CVE ?

Le programme CVE (Common Vulnerabilities and Exposures) fournit un moyen simple et efficace pour les individus ou les organisations de signaler des vulnérabilités de sécurité trouvées dans n’importe quel produit technologique. Lorsqu’une vulnérabilité est signalée, elle reçoit un identifiant unique, ce qui permet à d’autres de voir que le problème a été signalé et de mener leurs propres investigations.

Qui gère le programme CVE ?

Bien que le programme soit sous les auspices du Département de la sécurité intérieure des États-Unis, son travail est sous-traité à une entreprise privée, la MITRE Corporation.

Quel est l’état actuel du financement du programme ?

Le financement fédéral a été rétabli pour le programme CVE, mais son avenir à long terme reste incertain. Il n’y a pas d’indication si ce retournement de situation est temporaire ou permanent.

Comment les entreprises technologiques utilisent-elles le programme CVE ?

Des entreprises telles qu’Apple, Google et Microsoft s’appuient sur le système CVE pour identifier et corriger les failles de sécurité dans leurs produits. Le système aide également à coordonner les efforts lorsque plusieurs entreprises technologiques doivent agir sur une vulnérabilité.