NIST giảm phạm vi phân tích chuyên sâu CVE, tác động đến độ phủ và độ chính xác dữ liệu
"NIST reduced the number of CVEs it performs in-depth enrichment on, and researchers report that the change has led to mixed outcomes for CVE coverage and accuracy. The article does not mention a specific CVE or a software fix, but highlights an impact on vulnerability metadata quality and completeness."
Tác động chủ yếu nằm ở chất lượng dữ liệu: metadata CVE có thể kém đầy đủ hơn hoặc thay đổi độ chính xác, dẫn đến sai lệch khi ưu tiên rủi ro. Độ phủ và độ chính xác cần được theo dõi trong quy trình quản trị lỗ hổng.
Có thể ảnh hưởng gián tiếp đến hiệu quả quản lý rủi ro và lập kế hoạch xử lý do độ phủ/độ tin cậy dữ liệu lỗ hổng thay đổi, nhưng không có thông tin về tác động trực tiếp đến hệ thống hay bản vá cụ thể.
Theo các nghiên cứu được trích dẫn, Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) đã thu hẹp số lượng CVE được lựa chọn để phân tích chuyên sâu. Việc thay đổi quy trình này được ghi nhận là mang lại kết quả không đồng nhất: có nơi cải thiện, nhưng cũng có trường hợp làm giảm độ phủ hoặc ảnh hưởng đến độ chính xác của thông tin liên quan.
Bài viết không nêu cụ thể CVE nào bị ảnh hưởng, cũng không đề cập bản vá cho một phần mềm cụ thể. Thay vào đó, trọng tâm nằm ở tác động đối với chất lượng và mức độ đầy đủ của metadata lỗ hổng—những trường dữ liệu thường được dùng để hỗ trợ phân loại, ưu tiên và tích hợp vào hệ thống quản lý rủi ro.
Khuyến nghị cho đội kỹ thuật là rà soát lại quy trình ingest và chuẩn hóa dữ liệu lỗ hổng từ nguồn CVE/NVD, đối chiếu với nhiều tín hiệu (ví dụ: advisory, vendor bulletin) và theo dõi các chỉ số như coverage và completeness để giảm rủi ro sai lệch trong đánh giá.