LinuxParty

El nuevo Sistema Global de Asignación de CVE (GCVE) de la Unión Europea está oficialmente en funcionamiento, proporcionando una alternativa para los profesionales europeos de ciberseguridad preocupados de que la falta de fondos para el programa CVE administrado por Estados Unidos podría conducir a su cierre.

• La UE ha lanzado su propia base de datos de vulnerabilidades al estilo CVE para reducir la dependencia del sistema MITRE dirigido por Estados Unidos.
• La medida sigue a las crecientes preocupaciones sobre la inestabilidad de la financiación y los retrasos en el programa CVE existente.
• GCVE tiene como objetivo acelerar el seguimiento de vulnerabilidades sin dejar de ser compatible con el ecosistema CVE global.

Lanzada al público el 7th de enero, la iniciativa para desarrollar una base de datos de asesoramiento sobre vulnerabilidades centrada en Europa ha estado en proceso desde abril pasado, anunciada junto con el lanzamiento de la Base de Datos de Vulnerabilidad de la Unión Europea (EUVD) el pasado mes de mayo.

El sistema tiene como objetivo poner fin a la dependencia de las bases de datos estadounidenses y fortalecer la soberanía digital en Europa.

William Wright, CEO de Closed Door Security, dice que el establecimiento del programa GCVE es un paso positivo para las industrias de tecnología y ciberseguridad, tanto en la UE como en el extranjero.

"Un final repentino del programa CVE dirigido por el gobierno de Estados Unidos causaría caos ... los sectores público y privado serían ciegos mientras se apresuraban a encontrar un reemplazo, dejando a los actores de amenaza con una gran ventana para causar daño", señala el CEO.

“Si bien el programa CVE continuará funcionando, tener una alternativa refuerza la resistencia de la cibernética y la tecnología en su conjunto”, dijo Wright.

Una alternativa descentralizada al sistema CVE de MITRE

El GCVE de acceso público es un sistema de seguimiento de vulnerabilidades descentralizado lanzado por el Centro de Respuesta a Incidentes por Computadora de Luxemburgo (CIRCL).

Lo que hace que el marco centrado en la asignación sea único es que se considera un verdadero "esfuerzo impulsado por la comunidad", según el sitio web de GCVE, que establece que la plataforma agrega y correlaciona la información de vulnerabilidad de más de 25 fuentes públicas, incluido el programa MITRE CVE.

“Al reunir datos de editores descentralizados y bases de datos de vulnerabilidades existentes, el GCVE ayuda a reducir la fragmentación y mejorar la visibilidad en todo el panorama de vulnerabilidades globales”, dice.

Los analistas de seguridad dicen que la medida también tiene como objetivo reducir los riesgos asociados con confiar en un solo sistema de infraestructura de vulnerabilidad en función de la empresa en todo el mundo.

Wright señaló además las “preocupaciones crecientes” sobre la velocidad del programa CVE existente.

“Actualmente hay una gran acumulación de vulnerabilidades que necesitan ser verificadas y registradas de manera centralizada en la plataforma, y algunos han argumentado que MITRE está luchando para responder a la velocidad y la escala del panorama de amenazas contemporáneo”, dice Wright.

Wright explica que el nuevo programa descentralizado está diseñado para ser compatible con CVE: “suplementar y normalizar datos de múltiples fuentes, y permitir que las vulnerabilidades sean documentadas y publicadas por las autoridades de numeración (GNA) designadas por GCVE, sin la necesidad de aprobación central”.

Con suerte, esto debería permitir un proceso de documentación más rápido y robusto, y debería permitir que los gobiernos y las empresas respondan más rápidamente a las amenazas graves", dijo.

La financiación de los temores despertó la decisión de Europa

Aunque la EUVD había estado en desarrollo bajo la Agencia de Ciberseguridad de la Unión Europea (ENISA) durante aproximadamente un año, se podría decir que el momento de la existencia de ambas bases de datos no es una coincidencia.

El 16 de abril de 2025, el Departamento de Seguridad Nacional de los Estados Unidos esperó hasta las últimas horas para renovar los fondos para el programa CVE con sede en los Estados Unidos, lo que provocó el pánico entre los CISO de todo el mundo que dependen de la base de datos continuamente actualizada para proteger a sus organizaciones.

El programa de vulnerabilidades y exposiciones comunes (CVE) estándar de la industria del NIST es un programa financiado con fondos federales administrado por MITRE Corporation, una organización sin fines de lucro de ciberseguridad con sede a las afueras de Washington, DC y Massachusetts.

La base de datos CVE identifica, define y cataloga vulnerabilidades de seguridad divulgadas públicamente en una ubicación centralizada, lo que permite a los equipos de TI mantenerse informados sobre las amenazas más apremiantes y cómo solucionarlos.

El esquema de numeración común, la escala de gravedad y las descripciones detalladas permiten una comunicación rápida de información altamente técnica en todas las organizaciones y en todo el mundo.

Por lo tanto, los líderes europeos de ciberseguridad, queriendo evitar cualquier interrupción futura, simplemente decidieron crear las suyas propias.

Además de hacer que los volcados de datos abiertos estén disponibles para el acceso masivo y el análisis fuera de línea, la base de datos patrocinada por la UE tiene sus propias Autoridades de Numeración de GCVE (GNA), que “están facultadas para asignar y publicar identificadores de vulnerabilidad de forma independiente, sin dejar de ser interoperables a través de protocolos compartidos y mejores prácticas”.

Siguen existiendo preocupaciones de compatibilidad

Sin embargo, mientras que la GCVE puede disminuir la dependencia global del programa CVE de los Estados Unidos, Natalie Page, jefa de inteligencia de amenazas en Talion, dice que el sistema de base de datos de la UE "debería apuntar a ser compatible con el programa CVE de los Estados Unidos, utilizando un lenguaje y calificaciones similares".

Su objetivo debería ser “no confundir a las organizaciones ni causar desalineación con el seguimiento de CVE”, dijo.

No te pierdas nuestras últimas noticias en Google News. Agréguenos como su fuente preferida en Google Síguenos

Si bien GCVE no está diseñado para reemplazar el programa CVE de MITRE, proporciona a Europa una opción de contingencia si la financiación futura o incluso las interrupciones políticas amenazan la continuidad del seguimiento de vulnerabilidades en todo el mundo.

“Al permitir que los GNA y otros editores contribuyan con datos de forma independiente, al tiempo que se benefician de la correlación global, GCVE tiene como objetivo reducir los puntos únicos de fracaso y fomentar la innovación en la gestión de vulnerabilidades”, afirma el sitio web de GCVE.