صنعت امنیت سایبری ماههای ابتدایی پس از افشای Mythos توسط Anthropic را صرف بررسی حجم آسیبپذیریهای جدید کرد. سوال اصلی این بود: چند CVE جدید به خط لوله از پیش شلوغ اضافه میشود؟ چقدر طول میکشد تا تیمها غرق شوند؟ اما این نگاه، معیار واقعی را نادیده گرفت: پنجره مواجهه (Exposure Window).
پنجره مواجهه، شکاف میان لحظهای است که یک آسیبپذیری قابل بهرهبرداری میشود و لحظهای که تیم شما آن را برطرف میکند. این پنجره، زمانی است که مهاجم برای نفوذ و تخریب در اختیار دارد. در سال ۲۰۲۵، میانگین زمان خروج جرایم الکترونیکی (eCrime breakout time) به ۲۹ دقیقه رسیده است. در مقابل، حتی سختگیرانهترین چارچوب انطباق یعنی PCI DSS، ۳۰ روز برای رفع یک آسیبپذیری بحرانی فرصت میدهد. این یعنی شکاف ۱۰۰۰ به ۱ میان سرعت مهاجمان و سرعت واکنش سازمانها. چه چیزی این پنجره را باز نگه میدارد؟ بسیجسازی (Mobilization)؛ یعنی پیچیدگی مالکیت، تاییدیهها و فرآیندهای سازمانی که زمان پاسخ را افزایش و امنیت را کاهش میدهد.
Mythos پنجره را باز نکرد، آن را گسترش داد
مدل مدیریت آسیبپذیری پیش از Mythos نیز با مشکلات جدی مواجه بود. در سال ۲۰۲۵، ۴۸,۱۸۵ CVE افشا شد که ۲۲٪ نسبت به سال قبل افزایش داشت. پیشبینی میشود این رقم در سال ۲۰۲۶ به ۶۶,۰۰۰ برسد. بسیاری از این CVEs در همان خط لوله تعمیراتی قرار میگیرند که با سرعت سازمان IT حرکت میکند، نه با سرعت مهاجمان. چارچوب CTEM گارتنر پنج مرحله دارد: محدودهبندی، کشف، اولویتبندی، اعتبارسنجی و بسیجسازی. سه مرحله اول اکنون با سرعت ماشین اجرا میشوند، اما بسیجسازی همچنان با سرعت انسانی پیش میرود.
اقدامات تازه سیاستی مانند BOD 26-04 سازمان امنیت سایبری آمریکا (CISA) تلاش کرده است اولویتبندی را از CVSS به سمت بهرهبرداریپذیری و زمینه دارایی تغییر دهد. اما این دستورالعمل همچنان به سرعت اجرای رفع نمیپردازد و پنجره مواجهه را باز میگذارد.
بحران بسیجسازی؛ جایی که برنامههای امنیتی از کار میافتند
شکاف میان دانستن اینکه کدام آسیبپذیری را باید رفع کرد و عملاً رفع آن، یک مشکل سازمانی است. تیم امنیتی مواجهه را شناسایی میکند، اما تیم دیگری با اولویتها و پنجرههای تغییر خود باید آن را اصلاح کند. این انتقال، نقطه ضعف اصلی برنامههای CTEM است. تحقیقات نشان میدهد رفع آسیبپذیریهای بحرانی به طور میانگین ۵۵ روز زمان میبرد و نزدیک به نیمی از آسیبپذیریها پس از یک سال همچنان وصله نشده باقی میمانند. مواجهههای هویتی مانند دسترسیهای بیش از حد نیز وصلهای ندارند و در صف انتظار میمانند.
در این میان، هوش مصنوعی در امنیت (AI-driven Security) با سرعت بالای کشف خود، فشار را بر تیمها چند برابر کرده است. برای آشنایی بیشتر با این حوزه، مقاله هوش مصنوعی در امنیت را بخوانید.
راهکار: اندازهگیری سرعت، نه فقط تعداد
صنعت نیازمند معیارهای جدیدی است. به جای تمرکز صرف بر تعداد CVEs یا شدت آنها، سازمانها باید زمان پنجره مواجهه را به عنوان معیار اصلی عملکرد امنیتی خود در نظر بگیرند. تیمهای امنیتی باید از روشهای مبتنی بر سرعت که تیمهای SOC سالها استفاده کردهاند، الهام بگیرند. ابزارهای خودکار برای اعتبارسنجی و اولویتبندی میتوانند کمک کنند، اما تا زمانی که فرآیندهای سازمانی با سرعت ماشین هماهنگ نشوند، پنجره مواجهه باز خواهد ماند.
اگر سازمانها نتوانند سرعت بسیجسازی را به سرعت کشف نزدیک کنند، حتی بهترین ابزارهای هوش مصنوعی نیز نمیتوانند از نفوذ جلوگیری کنند. زمان آن رسیده که معیارهای جدیدی را جایگزین CVSS کنیم و پنجره مواجهه را به مهمترین شاخص امنیت سایبری تبدیل کنیم.
