CVE Program วิกฤตงบประมาณและความพยายามสร้างความยั่งยืนให้ระบบติดตามช่องโหว่ระดับโลก
ในนาทีสุดท้ายก่อนที่สัญญาจ้างจะสิ้นสุดลงในคืนวันอังคารที่ผ่านมา CISA (Cybersecurity and Infrastructure Security Agency) หรือหน่วยงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ ได้ตัดสินใจต่ออายุเงินทุนสนับสนุนให้กับ CVE Program ซึ่งเป็นโครงการติดตามช่องโหว่ของซอฟต์แวร์ที่ทั่วโลกให้การยอมรับและใช้งานมาอย่างยาวนาน
โครงการ CVE หรือ Common Vulnerabilities and Exposures คือระบบที่ทำหน้าที่รวบรวมและระบุตัวตนของช่องโหว่ในซอฟต์แวร์อย่างเป็นระบบ เพื่อให้ผู้เชี่ยวชาญด้านความปลอดภัยและองค์กรต่างๆ ทั่วโลกสามารถใช้ข้อมูลนี้ในการป้องกันและแก้ไขจุดอ่อนของระบบดิจิทัลได้อย่างแม่นยำ โดยมีกลุ่มวิจัยและพัฒนาที่ไม่แสวงหาผลกำไรอย่าง MITRE เป็นผู้บริหารจัดการภายใต้การกำกับดูแลของคณะกรรมการบริหาร
การต่อสัญญาที่เฉียดฉิวและความกังวลเรื่องความมั่นคง
โฆษกของ CISA ยืนยันว่าได้ดำเนินการขยายระยะเวลาสัญญาจ้างกับ MITRE ออกไปอีก 11 เดือน เพื่อให้มั่นใจว่าบริการที่สำคัญอย่าง CVE จะไม่เกิดการหยุดชะงัก โดยระบุว่าโครงการนี้มีความสำคัญอย่างยิ่งต่อชุมชนไซเบอร์และเป็นลำดับความสำคัญสูงสุดของหน่วยงาน
อย่างไรก็ตาม ความไม่แน่นอนที่เกิดขึ้นก่อนการประกาศต่อสัญญา ได้จุดชนวนให้สมาชิกบางส่วนของคณะกรรมการ CVE เริ่มผลักดันแผนการเปลี่ยนผ่านโครงการไปสู่หน่วยงานอิสระที่ชื่อว่า CVE Foundation เนื่องจากมีความกังวลว่าการพึ่งพางบประมาณจากรัฐบาลสหรัฐฯ เพียงแหล่งเดียว อาจส่งผลกระทบต่อความยั่งยืนและความเป็นกลางของทรัพยากรที่คนทั้งโลกต้องใช้งาน
ความกังวลนี้ทวีความรุนแรงขึ้นหลังจากมีจดหมายแจ้งจาก MITRE เมื่อวันที่ 15 เมษายน 2025 ว่ารัฐบาลสหรัฐฯ อาจไม่มีความประสงค์ที่จะต่อสัญญาการบริหารจัดการโครงการ ซึ่งทำให้ทางมูลนิธิที่กำลังก่อตั้งขึ้นต้องเตรียมพร้อมรับมือกับสถานการณ์ดังกล่าว
มุมมองจากผู้เชี่ยวชาญและผลกระทบในวงกว้าง
Patrick Garrity นักวิจัยด้านความปลอดภัยจาก VulnCheck ให้ความเห็นว่า เกือบทุกองค์กรและเครื่องมือรักษาความปลอดภัยทั่วโลกต้องพึ่งพาข้อมูลจาก CVE ดังนั้นการสูญเสียระบบนี้ไปจะกลายเป็นความเสี่ยงมหาศาลสำหรับทุกคน ไม่ใช่เพียงแค่ในสหรัฐอเมริกาเท่านั้น
แม้ว่าค่าใช้จ่ายในการดำเนินงานของ CVE Program จะสูงถึงหลายสิบล้านดอลลาร์ต่อสัญญา แต่เมื่อเทียบกับความเสียหายที่อาจเกิดขึ้นจากการโจมตีทางไซเบอร์ผ่านช่องโหว่ที่ไม่ได้ถูกแก้ไข ผู้เชี่ยวชาญมองว่าต้นทุนนี้ถือว่าน้อยมากเมื่อเทียบกับประโยชน์ด้านการป้องกันประเทศและความมั่นคงในระดับสากล
| หัวข้อ | รายละเอียด |
|---|---|
| ผู้บริหารจัดการ | MITRE (กลุ่มวิจัยและพัฒนาไม่แสวงหาผลกำไร) |
| ผู้สนับสนุนงบประมาณ | CISA (รัฐบาลสหรัฐอเมริกา) |
| สถานะสัญญาปัจจุบัน | ต่ออายุเพิ่ม 11 เดือน |
| ข้อเสนอแนะในอนาคต | จัดตั้ง CVE Foundation เพื่อความเป็นอิสระและความยั่งยืน |
| ความสำคัญ | เป็นฐานข้อมูลกลางสำหรับระบุช่องโหว่ซอฟต์แวร์ทั่วโลก |
ข้อเท็จจริงสำคัญ
- CVE Program เป็นหัวใจหลักของการป้องกันทางไซเบอร์ระดับโลก โดยให้ข้อมูลสำคัญสำหรับการวิจัยและป้องกันระบบดิจิทัล
- CISA ต่อสัญญาจ้าง MITRE ในนาทีสุดท้ายเพื่อป้องกันไม่ให้บริการหยุดชะงัก
- มีการเสนอจัดตั้ง CVE Foundation เพื่อลดการพึ่งพางบประมาณจากรัฐบาลเดียวและเพิ่มความเป็นกลาง
- งบประมาณดำเนินงานมีมูลค่าหลายสิบล้านดอลลาร์ แต่ถือว่าคุ้มค่าเมื่อเทียบกับความเสียหายจากการถูกโจมตีทางไซเบอร์
คำถามที่พบบ่อย
CVE Program คืออะไรและสำคัญอย่างไร?
คือโครงการที่ทำหน้าที่ติดตามและระบุรหัสช่องโหว่ของซอฟต์แวร์ (Common Vulnerabilities and Exposures) เพื่อให้ผู้ดูแลระบบและนักพัฒนาทั่วโลกสามารถระบุและแก้ไขจุดอ่อนของซอฟต์แวร์ได้อย่างถูกต้องและรวดเร็ว
ทำไมจึงต้องมีการเสนอจัดตั้ง CVE Foundation?
เนื่องจากปัจจุบันโครงการพึ่งพางบประมาณจากรัฐบาลสหรัฐฯ (CISA) เพียงแหล่งเดียว ซึ่งสร้างความกังวลเรื่องความยั่งยืนและความเป็นกลางในฐานะเครื่องมือที่คนทั่วโลกใช้งาน การเป็นมูลนิธิอิสระจะช่วยลดความเสี่ยงนี้
เกิดอะไรขึ้นกับสัญญาจ้างของ MITRE?
สัญญาจ้างเกือบจะสิ้นสุดลงและมีความไม่แน่นอนเรื่องงบประมาณ แต่ในที่สุด CISA ได้ตัดสินใจใช้สิทธิ์ต่ออายุสัญญาออกไปอีก 11 เดือนเพื่อให้การดำเนินงานต่อเนื่อง
หากไม่มี CVE Program จะส่งผลกระทบอย่างไร?
จะเกิดความเสี่ยงอย่างรุนแรงต่อความมั่นคงปลอดภัยทางไซเบอร์ทั่วโลก เนื่องจากองค์กรและเครื่องมือรักษาความปลอดภัยส่วนใหญ่ใช้ข้อมูลจาก CVE ในการตรวจจับและป้องกันการโจมตี
งบประมาณของโครงการนี้มาจากไหนและสูงเพียงใด?
งบประมาณได้รับการสนับสนุนจาก CISA ของรัฐบาลสหรัฐฯ โดยมีมูลค่าการดำเนินงานต่อสัญญาอยู่ที่หลักหลายสิบล้านดอลลาร์
