ENISA desarrolla una base de datos europea de vulnerabilidad cibernética

La Agencia de Ciberseguridad de la Unión Europea proporciona información agregada, fiable y viable, como medidas de mitigación y estado de explotación, sobre las vulnerabilidades que afectan a los productos y servicios de Tecnología de la Información y las Comunicaciones (TIC).

El objetivo de la EUVD es garantizar un alto nivel de interconexión de la información disponible al público procedente de múltiples fuentes, como CSIRT, proveedores, así como de bases de datos existentes. Para alcanzar este objetivo, la plataforma se basa en un enfoque holístico. Como base de datos interconectada, la EUVD permite un mejor análisis y facilita la correlación de vulnerabilidades facilitando el software de código abierto Vulnerability-Lookup, permitiendo así una mejora de la gestión de riesgos de ciberseguridad.

 

Foto de julien Tromeur en Unsplash

 

Por lo tanto, la EUVD ofrece una fuente de información fiable, más transparente y más amplia y mejora aún más la concienciación situacional, limitando al mismo tiempo la exposición a las amenazas.

 

¿Para quién es la EUVD?

La base de datos es accesible al público en general para consultar información relacionada con vulnerabilidades que afectan a los productos y servicios de TI. También está dirigido a los proveedores de redes y sistemas de información y entidades que utilizan sus servicios. La información documentada en la EUVD también está destinada a autoridades nacionales competentes, como la red de CSIRT de la UE, así como a empresas privadas e investigadores.

 

¿Cómo funciona?

La información agregada de la base de datos se muestra a través de paneles. La EUVD ofrece tres vistas del tablero: para vulnerabilidades críticas, para las explotadas y para las coordinadas de la UE. Las vulnerabilidades coordinadas de la UE enumeran las vulnerabilidades coordinadas por los CSIRT europeos e incluyen a los miembros de la red de CSIRT de la UE.

 

La información de vulnerabilidad recopilada y referencia provenía de bases de datos de código abierto. Se añade información adicional a través de avisos y alertas emitidas por los CSIRT nacionales, las directrices de mitigación y parcheo publicadas por los proveedores, junto con marcas de vulnerabilidad explotadas. Los registros de datos de EUVD pueden incluir:

 

• Una descripción de la vulnerabilidad
• los productos de TIC o los servicios de TIC afectados y/o a las versiones afectadas, la gravedad de la vulnerabilidad y la forma en que podrían explotarse
• Información sobre los parches o guía disponibles existentes proporcionados por las autoridades competentes, incluidos los CSIRT, y dirigida a los usuarios sobre la forma de mitigar los riesgos

 

El papel de ENISA en el ecosistema de vulnerabilidad

Para cumplir el requisito de la Directiva NIS2, ENISA inició una cooperación con diferentes organizaciones comunitarias e internacionales, incluido el programa CVE de la UE, incluido el programa CVE de MITRE. ENISA está en contacto con MITRE para entender el impacto y los próximos pasos tras el anuncio sobre la financiación del Programa de Vulnerabilidad y Exposiciones Comunes. Los datos de CVE, los datos proporcionados por los proveedores de TIC que divulgan información sobre vulnerabilidad a través de avisos, e información relevante como CISA-s Known Exploited Vulnerability Catálnerability Catálogo se transfieren automáticamente a la EUVD. Esto también se logrará con el apoyo de los Estados miembros que establecieron las políticas nacionales de divulgación coordinada de la divulgación de vulnerabilidad (CVD) y que designaron uno de sus CSIRT como coordinador, convirtiendo en última instancia en la EUVD en una fuente de confianza para una mayor conciencia situacional en la UE.

 

Como Autoridad Numerora CVE (CNA), ENISA puede registrar vulnerabilidades y apoyar la divulgación de vulnerabilidades desde enero de 2024, en relación con:

 

• vulnerabilidades en los productos informáticos descubiertos por los propios CSIRT de la UE
• vulnerabilidades comunicadas a los CSIRT de la UE para una divulgación coordinada siempre que no estén en el ámbito de aplicación de otra Autoridad de Numeración de CVE.

 

¿Cuál es la diferencia entre la EUVD y la plataforma de notificación única de la CRA?

Notificar las vulnerabilidades explotadas activamente será obligatorio para los fabricantes en septiembre de 2026. Este proceso de notificación se aplicará a vulnerabilidades que impactan los productos de hardware y software con elementos digitales. La Plataforma de Información Unica (SRP) prevista en la Ley de Resiliencia Cibernética (CRA) será la herramienta de uso para tal fin. Es importante destacar, por tanto, que el SRP es diferente del EUVD establecido por la Directiva NIS2.

 

Fuente: https://www.enisa.europa.eu

 

---

Volver al listado