CISA, CVE Programını Yeniden Yapılandırmak İçin Kalite Dönemi Planını Açıkladı
Siber güvenlik dünyasının en temel başvuru kaynaklarından biri olan CVE (Common Vulnerabilities and Exposures) programı, CISA tarafından açıklanan yeni bir strateji belgesiyle kapsamlı bir dönüşüm sürecine giriyor. Geçtiğimiz yıl sözleşme yenileme aşamasında kapanma riskiyle karşı karşıya kalan program, artık Kalite Dönemi olarak adlandırılan yeni bir evreye geçiş yapmayı hedefliyor.
Programın büyüme hızı, özellikle yapay zeka destekli keşif süreçlerinin yaygınlaşmasıyla birlikte ciddi bir ivme kazandı. Sadece 2026 yılının ilk haftalarında 67 binden fazla yeni kayıt oluşturulurken, 2020 ile 2025 yılları arasında NIST bünyesindeki Ulusal Zafiyet Veritabanı'na yapılan başvurularda %263 oranında bir artış gözlemlendi. CISA, bu hızlı artışın kayıtların tutarlılığını ve doğruluğunu olumsuz etkilediğini, sürecin artık daha sıkı bir yönetişime ihtiyaç duyduğunu belirtiyor.
Kurumun yayımladığı plan, veri kalitesini yükseltmek için dört ana eksen üzerinde yoğunlaşıyor: şeffaf yönetişim, küresel yazılım topluluğunun aktif katılımı, operasyonel işlevleri destekleyen veri altyapısı ve güvenilir kayıt içeriği. CISA yetkilisi Chris Butera, bu çabaların programın uzun vadeli sürdürülebilirliğini sağlamak adına atıldığını vurguluyor.
Sektör temsilcileri ise planın hedeflerini olumlu bulsa da uygulama aşamasına dair çekincelerini dile getiriyor. Sonatype CTO'su Brian Fox, iyileştirmelerin sadece kağıt üzerinde kalmaması gerektiğini, verilerin karar alma süreçlerine doğrudan yansıması gerektiğini belirtiyor. OWASP bünyesinde çalışan Tom Alrich ise, en büyük eksikliğin kayıtların çoğunda makine tarafından okunabilir yazılım tanımlayıcılarının bulunmaması olduğunu savunarak, belgenin bu kritik teknik soruna değinmediğini ifade ediyor.
