CVE董事会会议记录 - 2017年2月22日

CVE董事会会议

2017年2月22日，下午2:00美东时间

CVE董事会于2017年2月22日通过电话会议开会。

出席董事会成员是：

安迪·巴林斯基

哈罗德·布斯（NIST）

艺术马尼昂（CERT-CC）

Pascal Meunier

Kurt Seifried（红色帽子）

威廉·考克斯（黑鸭）

Dave Waltermire（NIST）

肯·威廉姆斯（CA Tech）

参加电话会议的MITER CVE团队的成员如下：

丹·阿迪诺夫（Dan Adinolfi）

乔恩·贝克

克里斯·科芬

乔纳森·埃文斯（Jonathan Evans）

安东尼·辛格尔顿

乔治·蒂尔（George Theall）

议程

2：00 - 2:05：上次会议的介绍，动作项目 - 克里斯·科芬（Chris Coffin）

2:05 - 2:25：工作组

策略计划

问题

动作

董事会决定

自动化 - Harold Booth

问题

动作

董事会决定

2：25 - 2:50：CNA更新

DWF - Kurt Seifried

问题

动作

董事会决定

将军 - 丹·阿迪诺夫（Dan Adinolfi）

问题

动作

董事会决定

2：50 - 3：00：文档更新（研究人员保留指南，CVE Vision） - 克里斯·科芬（Chris Coffin）

3：00 - 3:10：RSA会议汇报 - Dan Adinolfi

3:10 - 3：30：服务范围 - 乔纳森·埃文斯（Jonathan Evans）

3：30 - 3:55：公开讨论 - CVE董事会

3：55 - 4：00：动作项目，总结 - 克里斯·科芬（Chris Coffin）

会议开始于对先前动作项目的审查

介绍，上次会议的动作项目 - 克里斯·科芬（Chris Coffin）

• MITER将将通知发送到OSS安全邮件列表，从CVE请求Web表格指导任何CVE请求。
• 自动化工作组正在继续以JSON格式进行工作，并被要求尝试尽快制作最终草案。
• 关于MITER正在开发的CNA文档的描述仍在编写。这些文件正在Github中种植，以进行协作开发。
• Miter正在开发文档，以帮助培训新的CNA，并将与DWF分享。
• 董事会应更新有关VRDX和CVRF努力的状态。这将在即将举行的会议或通过电子邮件中完成。

工作组

• 战略规划-Kent Landfield
  • 更新
    • 战略规划工作组没有任何更新。
  • 动作
    • 讨论的战略规划工作组没有任何行动。
  • 董事会决定
    • 没有其他董事会讨论。
• 自动化 - Kurt Seifried
  • 更新
    • JSON格式将进行一些其他更改。
    • 将弄清楚如何格式日期和时间的详细信息。
    • 有关于如何表示版本和多种产品的讨论。
    • 关于如何将XML和其他格式集成在JSON格式中的讨论。
    • 讨论了如何为CVSS描述开发语法。
  • 动作
    • JSON格式的其他更新将发生。
    • 用例将记录并发布。
  • 董事会讨论
    • 没有其他董事会讨论。

CNA更新

• DWF - Kurt Seifried
  • 问题
    • 研究铸造数据
  • 动作
    • 有16个人签署了指导计划。他们将尽快登机。
  • 董事会决定
    • 没有其他董事会讨论。
• 将军 - 丹·阿迪诺夫（Dan Adinolfi）
  • 问题
    • 自上次董事会会议以来，我们与高通谈论成为CNA。
    • 其他一些候选人在队列中。
  • 动作
    • Miter将继续与那些对成为CNA兴趣的人接触。
  • 董事会决定
    • 没有其他董事会讨论。

文档更新（研究人员保留指南，CVE Vision）

米特（Miter）正在拿出已提交给董事会的文档计划。这些文件的开发将在GitHub上完成。在其他文件中，将包括对非CNA的CVE保留指南的修订。

RSA会议汇报-Dan Adinolfi

CVE在2017年RSA会议上有一些代表。DANADINOLFI向会议前证书供应商会议提交了描述，描述了CNA计划和CVE联合会。肯特·兰德菲尔德（Kent Landfield）和库尔特（Kurt Seifried）介绍了与DWF过程有关的两个会议。丹还在RSA博览会上与供应商进行了大量宣传，希望鼓舞更多的兴趣并参与CNA计划。丹还与其他现有的CNA进行了一些讨论。

服务的覆盖范围

继续讨论有关在CVE中包括托管服务漏洞的讨论，Miter询问董事会是否可以提供一些用例来帮助了解要求。Kurt Seifried正在与Cloud Security Alliance合作，以跟踪这类问题，他将与董事会分享他们的发展。讨论将继续在邮件列表上，董事会将创建这些用例。

公开讨论 - CVE董事会

董事会讨论了CVE ID在“保留”状态下仍然存在的含义。这可能是出于许多原因而发生的，一个组织是使用CVE ID进行内部问题跟踪的组织，即使许多问题永远不会公开或可能是公开的。董事会要求MITER考虑增加一个字段，该字段将指示CNA负责保留的CVE ID，这可能有助于减轻由保留但没有人口的CVE ID引起的混乱。

动作项目，总结 - 克里斯·科芬（Chris Coffin）

• 将创建一项民意调查，以安排3月6日左右的自动化工作组会议。
• 将开发每个建议的CNA文档的描述，以帮助董事会了解每个文档的预期内容。CNA文档将在GitHub开发。
• DWF和MITER将讨论如何最好地提供有关“什么脆弱性”的指导。
• Miter将总结CVE董事会的RSA会议经验。
• 一些董事会成员将创建用例，以在CVE中包括托管服务。Art Manion将通过董事会电子邮件列表开始有关在CVE中包含托管服务的线程。