美国政府：软件衡量问题“最难解决”，厂商应发布“及时、完整、一致”的CVE和CWE数据

美国政府呼吁软件厂商发布“及时、完整和一致”的安全漏洞文档，帮助改进所生成代码的质量和安全。

白宫国家网络总监总监办公室 (ONCD) 表示，漏洞文档的透明度应该包括CVE和CWE数据，助力开发实证性指标，有效衡量代码。白宫指出，“要在保护数字化生态系统方面获得进展，有必要重新调整激励措施，利好长期投资。为使这一调整生成生态系统范围内的行为改变，有必要开发出实证指标，衡量软件的网络安全质量。”

白宫认为，“目前开展的工作是为了对改进软件质量和安全方式的了解，包括漏洞协同披露、响应计划和及时的CVE记录，体现了该生态系统中的关键决策。”软件的可衡量性“是最难解决的开放研究问题之一”。

ONCD报告指出，该问题不仅要求优化已有的指标或工具，还要求探索软件工程和网络安全研究的新前沿。该机构指出，“通过推进衡量和评估软件安全的能力，在软件发布之前可预测和缓解更多的漏洞。从这些衡量结果中开发出的指标也将为很多利益相关者的决策提供信息。”

ONCD 报告提到，通过分析软件评估网络安全质量受可量化的内容限制，并提醒称传统方法如统计已知漏洞“不足以且不一定提供对于未来威胁或攻击向量的洞见”。

白宫还通过该报告督促行业转向内存安全的编程语言，以大规模减少漏洞数量并改进生态系统中的网络安全质量。白宫指出，“这些方法将是雄心勃勃的任务，它要求恒心和多行业在未来几年的关注。我们必须努力主动消除所有软件漏洞类别。软件和硬件厂商能采取的最具影响力的措施之一是使用内存安全编程语言。这些语言提供了一种消除而非仅仅缓解所有漏洞类别的方法。这对于技术社区改进整个数字化生态系统的网络安全性而言是一个绝佳机会。”