Consultez la base de données européenne sur les vulnérabilités pour améliorer votre sécurité numérique !
infohightech ·
L'Agence de l'Union européenne pour la cybersécurité (ENISA) a développé la base de données européenne des vulnérabilités (EUVD), conformément à la directive NIS2. Le service EUVD , géré par l'ENISA, est désormais opérationnel.
La base de données fournit des informations agrégées, fiables et exploitables telles que les mesures d'atténuation et l'état d'exploitation des vulnérabilités de cybersécurité affectant les produits et services des technologies de l'information et de la communication (TIC).
Henna Virkkunen, vice-présidente exécutive de la Commission européenne chargée de la souveraineté technologique, de la sécurité et de la démocratie , a déclaré : « La base de données européenne sur les vulnérabilités constitue une avancée majeure pour renforcer la sécurité et la résilience de l'Europe. En rassemblant les informations sur les vulnérabilités pertinentes pour le marché européen, nous renforçons les normes de cybersécurité, permettant ainsi aux acteurs des secteurs privé et public de mieux protéger nos espaces numériques partagés avec plus d'efficacité et d'autonomie. »
Juhan Lepassaar, directeur exécutif de l'ENIS A, a déclaré : « L'ENISA franchit une étape importante avec la mise en œuvre de l'exigence de base de données sur les vulnérabilités prévue par la directive NIS 2. L'UE dispose désormais d'un outil essentiel conçu pour améliorer considérablement la gestion des vulnérabilités et des risques qui y sont associés. Cette base de données garantit la transparence pour tous les utilisateurs des produits et services TIC concernés et constituera une source d'information efficace pour la recherche de mesures d'atténuation. »
Pourquoi une base de données européenne sur les vulnérabilités ?
L'objectif de l'EUVD est d'assurer un haut niveau d'interconnexion des informations accessibles au public provenant de sources multiples telles que les CSIRT, les fournisseurs et les bases de données existantes. Pour atteindre cet objectif, la plateforme s'appuie sur une approche holistique. En tant que base de données interconnectée, l'EUVD permet une meilleure analyse et facilite la corrélation des vulnérabilités grâce au logiciel open source Vulnerability-Lookup, permettant ainsi une meilleure gestion des risques de cybersécurité.
L'EUVD offre donc une source d'information fiable, plus transparente et plus large et améliore encore la connaissance de la situation tout en limitant l'exposition aux menaces.
À qui s'adresse l'EUVD ?
La base de données est accessible au grand public pour consulter les informations relatives aux vulnérabilités affectant les produits et services informatiques. Elle s'adresse également aux fournisseurs de réseaux et de systèmes d'information, ainsi qu'aux entités utilisant leurs services. Les informations documentées de l'EUVD sont également destinées aux autorités nationales compétentes, telles que le réseau des CSIRT de l'UE , ainsi qu'aux entreprises privées et aux chercheurs.
Comment ça marche ?
Les informations agrégées de la base de données sont présentées sous forme de tableaux de bord. L'EUVD propose trois vues : pour les vulnérabilités critiques, pour les vulnérabilités exploitées et pour les vulnérabilités coordonnées par l'UE. La vue « Vulnérabilités coordonnées par l'UE » répertorie les vulnérabilités coordonnées par les CSIRT européens et inclut les membres du réseau des CSIRT européens.
Les informations sur les vulnérabilités collectées et référencées proviennent de bases de données open source. Des informations complémentaires sont fournies par les avis et alertes émis par les CSIRT nationaux, les directives d'atténuation et de correctifs publiées par les fournisseurs, ainsi que les marquages des vulnérabilités exploitées. Les données EUVD peuvent inclure :
- Une description de la vulnérabilité ;
- Produits TIC ou services TIC affectés et/ou versions affectées, la gravité de la vulnérabilité et la manière dont elle pourrait être exploitée ;
- Informations sur les correctifs pertinents disponibles ou conseils fournis par les autorités compétentes, y compris les CSIRT, et adressés aux utilisateurs sur la manière d'atténuer les risques.
Le rôle de l'ENISA dans l'écosystème de la vulnérabilité
Afin de satisfaire aux exigences de la directive NIS2, l'ENISA a initié une coopération avec différentes organisations européennes et internationales, dont le programme CVE du MITRE . L'ENISA est en contact avec le MITRE afin de comprendre l'impact et les prochaines étapes suite à l'annonce du financement du programme Common Vulnerabilities and Exposures. Les données CVE, les données fournies par les fournisseurs de TIC divulguant des informations sur les vulnérabilités via des avis, et les informations pertinentes telles que le catalogue des vulnérabilités connues exploitées du CISA sont automatiquement transférées vers l'EUVD. Ce transfert sera également réalisé avec le soutien des États membres ayant mis en place des politiques nationales de divulgation coordonnée des vulnérabilités (CVD) et ayant désigné l'un de leurs CSIRT comme coordinateur, faisant ainsi de l'EUVD une source fiable pour une meilleure connaissance de la situation dans l'UE.
En tant qu'autorité de numérotation CVE (CNA) , l'ENISA peut enregistrer les vulnérabilités et soutenir la divulgation des vulnérabilités depuis janvier 2024, en ce qui concerne :
- vulnérabilités dans les produits informatiques découvertes par les CSIRT de l'UE eux-mêmes ; et
- vulnérabilités signalées aux CSIRT de l'UE pour une divulgation coordonnée, à condition qu'elles ne relèvent pas du champ d'application d'une autre autorité de numérotation CVE.
Quelle est la différence entre l’EUVD et la plateforme de déclaration unique de la CRA ?
La notification des vulnérabilités activement exploitées deviendra obligatoire pour les fabricants d'ici septembre 2026. Ce processus de notification s'appliquera aux vulnérabilités affectant les produits matériels et logiciels contenant des éléments numériques. La plateforme unique de signalement (SRP) prévue par la loi sur la cyber-résilience (CRA) sera l'outil à utiliser à cette fin. Il est important de souligner que la SRP diffère donc de la directive EUVD établie par la directive NIS2.
Et ensuite ?
L'année 2025 sera consacrée à l'amélioration et au développement de l'EUVD et de tous les services associés. À cette fin, l'ENISA recueillera des retours d'expérience.
Informations contextuelles
Divulgation coordonnée des vulnérabilités (CVD)
Le CVD peut être décrit comme un modèle de divulgation de vulnérabilité qui tente de limiter la menace d'exploitation des vulnérabilités, en garantissant que les vulnérabilités sont divulguées au public après que les parties responsables ont eu suffisamment de temps pour développer un correctif, un patch ou fournir des mesures d'atténuation.
Programme sur les vulnérabilités et expositions courantes (CVE)
La mission du programme CVE est d'identifier, de définir et de cataloguer les vulnérabilités de cybersécurité rendues publiques. Chaque vulnérabilité du catalogue fait l'objet d'un enregistrement CVE. Les vulnérabilités sont découvertes, puis attribuées et publiées par des organisations du monde entier partenaires du programme CVE. Ces partenaires publient des enregistrements CVE afin de communiquer des descriptions cohérentes des vulnérabilités. Les professionnels des technologies de l'information et de la cybersécurité utilisent les enregistrements CVE pour s'assurer qu'ils traitent du même sujet et pour coordonner leurs efforts afin de hiérarchiser et de corriger les vulnérabilités.
Autorités de numérotation CVE (CNA)
Les CNA sont des organisations chargées d'attribuer régulièrement des identifiants CVE aux vulnérabilités, ainsi que de créer et de publier les informations relatives à ces vulnérabilités dans le dossier CVE associé. Chaque CNA a un périmètre de responsabilité spécifique pour l'identification et la publication des vulnérabilités. L'ENISA est désormais autorisée à attribuer des identifiants CVE (identifiants CVE) et à publier les dossiers CVE pour les vulnérabilités découvertes ou signalées aux CSIRT de l'UE, conformément à ses rôles de coordinateur.
Cadre consultatif commun de sécurité (CSAF)
CSAF est une norme pour les avis de sécurité lisibles par machine. Ce format standardisé d'ingestion des informations relatives aux avis de vulnérabilité simplifie les processus de tri et de correction pour les propriétaires d'actifs. En publiant des avis de sécurité via CSAF, les fournisseurs réduiront le temps nécessaire aux entreprises pour comprendre l'impact organisationnel et mettre en œuvre des mesures correctives rapides.