Network Optix se une a la lista de las 300 organizaciones de Autoridades de Numeración de CVE a nivel global: Reforzando la ciberseguridad del cliente

Si bien aquellos expertos en el campo de la ciberseguridad pueden estar familiarizados con el programa CVE y los CNA, muchas personas que están fuera del campo siguen siendo totalmente ajenos de la importancia al garantizar que los consumidores sean conscientes de las vulnerabilidades en su seguridad. Para aclarar lo que significa ser un CNA para Network Optix y sus clientes, el Director de Ciberseguridad de la compañía, Vitaly Malkin, aclaró todas las dudas en una sesión de preguntas y respuestas en profundidad. 

Como Director de Ciberseguridad de Nx, ¿podría resumir el programa CVE antes de abordar lo que es exactamente un CNA?

R: Por supuesto. En el ámbito de la ciberseguridad, todos los productos de software tienen vulnerabilidades. Microsoft Windows, Google, todas las entidades importantes se enfrentan a esta realidad. Por ejemplo, digamos que Microsoft Windows tenía una vulnerabilidad, pero lanzó un parche que la solucionó logrando así que el software sea seguro. Sin embargo, no todo el mundo actualiza periódicamente su software con el parche más reciente, lo que significa que todavía existe una vulnerabilidad en la versión del software que no tiene el parche.

Para mantenerse a la vanguardia de estas posibles amenazas a la seguridad, es fundamental que las empresas informen sobre estas vulnerabilidades a sus clientes en caso de que éstos decidan no instalar la versión actualizada del software. Para tratar esto, se estableció el programa de Vulnerabilidades y Exposiciones Comunes (CVE).

El CVE es un registro público que tiene como objetivo identificar, definir y catalogar vulnerabilidades de ciberseguridad divulgadas al público, asignando a cada una, un identificador único, el ID del CVE. El ID del CVE permite la estandarización de la nomenclatura para la identificación de la vulnerabilidad de forma clara, de modo que varias partes discutan, compartan y correlacionen información sobre una vulnerabilidad específica, sabiendo que se refieren a lo mismo. 

¿Cómo informa una empresa las vulnerabilidades de seguridad para obtener un ID de CVE? 

R: Bueno, ahí es donde entran las CNA. Una CNA, o Autoridad de Numeración de CVE, es una organización que ha sido nombrada autoridad por una de las pocas CNA principales a nivel global, como The Mitre Corporation, para asignar un ID de CVE a vulnerabilidades, crear y publicar información sobre la vulnerabilidad en el registro del CVE asociado.

¿Qué implica ser CNA para Network Optix como empresa de software?

R: Ser una CNA es fundamental. Por lo general se necesitan meses para catalogar las vulnerabilidades y asignarles un ID de CVE. Sin embargo, como CNA, ahora estamos autorizados a publicar vulnerabilidades que existen dentro de nuestro propio producto, así como en los productos de nuestros socios. Esto significa que podemos informar y catalogar rápidamente vulnerabilidades en el CVE, lo que nos diferencia de otras empresas de software.

¿Cuáles son los requisitos a cumplir para que una organización sea aprobada como CNA? 

R: Para obtener el estatus de CNA, Network Optix tuvo que demostrar a The MITRE Corporation la capacidad de nuestro equipo de ciberseguridad en la generación y procesamiento de informes de CVE. Para ello, hace dos o tres años iniciamos un proceso de presentación de informes diligente y meticuloso. A través de una serie de ejercicios a largo plazo e informes completos, el equipo logró demostrar su capacidad para realizar las evaluaciones de CVE. Tras varios años de mantener la coherencia en nuestros informes, el equipo de ciberseguridad de Nx solicitó la autorización de CNA ante The MITRE Corporation. En total, el proceso de aprobación duró de tres a cuatro semanas.

¿Es común que una empresa se constituya como CNA?

R: Hay unas 300 CNA en todo el mundo, lo que hace que el estatus de Network Optix como empresa de software sea particularmente único.

Más allá de Network Optix, ¿qué significa el estatus CNA para sus clientes y socios?

R: Para nuestros clientes y socios, el estatus de CNA garantiza que todas las vulnerabilidades en los productos Nx se informen y cataloguen rápidamente en el CVE, ya que es un requisito para CNA de The Mitre Corporation. Este logro es otro testimonio del compromiso sostenido de Network Optix con la seguridad de los productos, brindando así confianza y un mayor nivel de seguridad a nuestros clientes y socios.