CVSS v4.0 lanzado con nuevas mejoras

El Foro de Equipos de Seguridad y Respuesta a Incidentes (PRIMERO) ha marcado un importante salto en ciberseguridad con el lanzamiento oficial de CVSS v4.0, la última versión del estándar del Sistema Común de Puntuación de Vulnerabilidad. Esta presentación se produce ocho años después de la introducción de CVSS v3.0., representando un momento crucial en la evolución de las metodologías de evaluación de amenazas.

CVSS: una descripción general

CVSS sirve como marco estandarizado para evaluar la gravedad de las vulnerabilidades de seguridad del software.. Emplea puntuaciones numéricas o representaciones cualitativas. (bajo, medio, alto, y critico) basado en factores como la explotabilidad, impacto en la confidencialidad, integridad, disponibilidad, y privilegios requeridos. Cuanto mayor sea la puntuación, cuanto más grave es la vulnerabilidad.

Una de las ventajas clave de CVSS es su papel a la hora de priorizar las respuestas a las amenazas a la seguridad. Proporciona un método consistente para evaluar el impacto de las vulnerabilidades., Facilitar la comparación de riesgos entre diferentes sistemas y software..

“El estándar revisado ofrece una granularidad más fina en las métricas básicas para los consumidores., elimina la ambigüedad de puntuación posterior, simplifica las métricas de amenazas, y mejora la eficacia de la evaluación de los requisitos de seguridad específicos del entorno, así como de los controles compensatorios.,” explica PRIMERO. Además, CVSS v4.0 introduce varias métricas complementarias para la evaluación de vulnerabilidades, incluyendo automatizable (gusano), Recuperación (resiliencia), Densidad de valor, Esfuerzo de respuesta a la vulnerabilidad, y urgencia del proveedor.

Mejoras en CVSS v4.0

Una mejora notable en CVSS v4.0 es su aplicabilidad ampliada a la tecnología operativa (Antiguo Testamento), Sistemas de control industriales (ICS), y el internet de las cosas (Yate). Las métricas y valores de seguridad se han integrado en los grupos de métricas suplementarias y ambientales..

Introduciendo una nueva nomenclatura, CVSS v4.0 ahora incluye Base (CVSS-B), Base + Amenaza (CVSS-BT), Base + Ambiental (CVSS-BE), y bases + Amenaza + Ambiental (CVSS-BTE) clasificaciones de gravedad.

Chris Gibson, CEO de PRIMERO, reconoce el esfuerzo monumental detrás de CVSS v4.0, enfatizando su importancia en una era que presencia un aumento de las amenazas cibernéticas. “El sistema CVSS se ha desarrollado rápidamente en el pasado. 18 año, Cada versión se basa en nuestras capacidades para defendernos de la ciberdelincuencia.. Estoy inmensamente orgulloso del CVSS-SIG por el arduo trabajo y la dedicación que ha requerido para producir la versión 4.0.” él afirma.

Este hito sigue el compromiso de FIRST con la mejora continua en las prácticas de ciberseguridad.. El año pasado, la organización también presentó TLP 2.0, la última versión de su Protocolo de semáforo (TLP) estándar, mostrando la dedicación de FIRST para promover estrategias de defensa colaborativas frente a las amenazas cibernéticas en evolución.