CISA модернизирует платформу для сообщения об уязвимостях

Агентство по кибербезопасности и защите инфраструктуры США (CISA) обновило свою платформу для сообщения об уязвимостях и координации действий, обеспечив более высокий уровень автоматизации и оптимизации процессов, а также внедрив актуальные инструменты для исследователей.

С 2020 года регулятор использовал систему VINCE (Vulnerability Information and Coordination Environment), разработанную в том же году Координационным центром групп реагирования на компьютерные инциденты (CERT/CC) — подразделением Института программной инженерии (SEI) при Университете Карнеги-Меллона. 17 сентября 2024 произошёл переход на VINCE-NT (VINCE — New Technology).

Модернизированная платформа призвана усовершенствовать процесс взаимодействия между лицами, уведомляющими об уязвимостях, поставщиками продуктов и кураторами заявок в CISA на всех этапах раскрытия информации. Теперь функции владения, спонсорской поддержки и управления системой передаются ведомственной команде по вопросам скоординированного раскрытия сведений. Также была улучшена интеграция с внутренними инструментами и процессами агентства.

В число нововведений входят более удобный интерфейс, повышенная эффективность первичной обработки заявок, упрощённые процедуры публикации информационных бюллетеней, расширенные возможности для координации действий нескольких сторон и так далее.

Кроме того, в VINCE-NT пересмотрели часть терминологии, ранее использовавшейся сотрудниками CISA. Категории «вендор/разработчик/сопровождающий» объединены в понятие «поставщик» (supplier), термин «продукт» заменён на «компонент» (component), а «исследователь/обнаруживший» теперь именуется «автором сообщения» (reporter).

В разделе часто задаваемых вопросов, посвящённом переходу, регулятор сообщил, что активные заявки из VINCE будут перенесены в новую систему в течение ближайших недель.

Усам Оздемиров