CVE董事会会议记录——2017年1月25日

CVE董事会会议

2017年1月25日,美国东部时间下午2点

CVE委员会2017年1月25日通过电话会议。

董事会成员参加:

哈罗德·布斯(NIST)

肯特Landfield(英特尔)

斯科特·劳勒(LP3)

帕斯卡Muiener(谢莉妲/普渡大学)

马尼恩的艺术(CERT-CC)

Kurt Seifried (Red Hat)

塔基•中山教授(JP CERT)

威廉·考克斯(黑鸭子)

横切CVE团队的成员参加了调用如下:

丹Adinolfi

克里斯棺材

乔纳森埃文斯

安东尼单例

乔治Theall

议程

下午2 - 2:介绍,从上次会议行动项目——克里斯棺材

2 -庭讯:工作组

战略规划——Kent Landfield

问题

行动

董事会的决定

自动化——哈罗德·布斯

问题

行动

董事会的决定

庭讯- 3:CNA更新

DWF——Kurt Seifried

问题

行动

董事会的决定

通用-丹Adinolfi

问题

行动

董事会的决定

3 - 3:董事会安排——丹Adinolfi打电话

3 - 3:威廉·考克斯加入董事会投票结果——丹Adinolfi

3:10 - 3:20:2016年统计数据-克里斯棺材

20 -凌晨9:在互联网上——丹Adinolfi CVE错误

3 - 50分:40分文档开发过程——克里斯棺材

美东- 55分钟:公开讨论——CVE董事会

55 - 4:行动项目,总结——克里斯棺材

会议开始于讨论上次会议行动项:

• 主教法冠开始考虑如何设计一套测试的信息。经过讨论,董事会的问题转移到自动化工作组的议程。
• 横切是发送消息董事会声明度量成就低于2016年统计数据覆盖。更正式的报告结构仍处于开发阶段,尽管一些统计数据共享在电话。
• 主教法冠开始调查如何利用社会媒体的宣传和沟通。这个调查还在继续。
• 主教法冠将审查公开发布CVE网站和相关的维基百科页面上的内容,以确保它是正确的和最新的。这仍然是完成。
• 一个邮件列表支持命名工作小组将由主教法冠。邮件列表已填充和工作即将开始。

CVE战略规划工作小组更新

向董事会建议的战略规划工作小组由董事会已经接受。工作组将继续工作议事日程所描述的建议。

工作组将分享一些文档,包括演示描述CVE战略文件和其他一些讨论材料。

DWF更新

DWF与操作问题已取得了一些进展,但仍有大量工作要做。开发新JSON格式通过自动化工作小组仍在继续。

自动化工作小组

自动化工作小组继续开发版本4的JSON格式。工作组的目的,在下次会议之后,会有一个规范的最终稿,然后可以提供30天的社区作为一个整体评论。合并后的反馈,将格式规范化、4.0版本将被认为是集。

自动化工作小组的下一个会议1月30日。

一般CNA

斜方一直在与一些必须解决操作问题,主要是有关CVE ID提交格式或内容。

TIBCO现在是中央社。斜方已经开始的入职流程网络安全马来西亚,奇虎360,Synology, KR-CERT。

一个描述文档的文档树需要支持CNA程序正在开发中。这是在会议上讨论。

板叫时间表

董事会成员的适应地理传播CVE董事会会议的安排调整。董事会会议将安排在清晨或晚上东部时间,以便更容易参与那些在亚洲和欧洲。主教法冠将提出一个新的计划在黑板上邮件列表。

威廉·考克斯加入董事会的投票结果

威廉·考克斯黑鸭子的软件已经正式加入董事会。

2016年统计数据

斜方共享以下统计数据与董事会。

• 2016年14969年CVE id被分配。
• 7104 CVE id被发布到CVE列表。
• 斜方发表6000年CVE id。
• 622年来自CNAs CVE id。
• 从CVE请求web表单,是由261个请求,导致CVE的更新列表。

在互联网上CVE错误

偶尔,CVE ID将被错误地引用了横切或CNA控制以外的在互联网上。斜方问董事会如何处理这些事件,特别是如果任何错误地引用了CVE ID应该被拒绝。董事会建议横切为这些问题,遵循一贯的政策,这一政策不应试图调和每个实例,有人可能会错误地(或恶意)引用了CVE ID。相反,应该有一个阈值,当斜方应该反应。主教法冠将开发这一政策。

开发过程文档

斜接了一个计划来创建所需的文档CNA操作。这个文档包括项目描述、培训、操作文档和宣传材料。斜方共享文档树描述草案文档及其与董事会的关系。董事会将审查这些文档计划和提供反馈。

为每个文档,横切将分享纲要与适当的组讨论一个多星期。一旦草案准备评审,审核期将两周,斜方会有最终的草案在两周内完成。当完成草案,它将提交董事会批准。

董事会将在董事会审查一般CVE文档本身邮件列表。文档直接影响CNA操作将审查在cve-cna-list邮件列表。文档相关的自动化将审查在自动化工作小组邮件列表。斜方保持文档大师和充当编辑器。这些大师将在GitHub维护。

公开讨论

斜方问董事会斜方应该直接任何人请求CVE ID通过oss-security邮件列表CVE请求web表单。董事会表示,斜方应该遵循一个一致的过程。他们要求任何消息描述变化的邮件列表由董事会审议。主教法冠将草案,消息和分享它。

操作项:

• 主教法冠将产生正式的过程文档审查和发表。
• 斜方会提出一个新的董事会会议安排在黑板上邮件列表。
• 横切将开发一个政策指导何时以及如何响应应该对错误的CVE引用网上找到。
• 主教法冠将起草一封给oss-security邮件列表描述了新工艺获得CVE id和提交董事会审议。

接下来的CVE董事会将星期三,2017年2月8日。

附件:CVE董事会Meeting_1_25_17.docx
描述:CVE董事会Meeting_1_25_17.docx