La CISA (Cybersecurity and Infrastructure Security Agency) est une agence gouvernementale américaine. Elle est chargée de protéger les infrastructures critiques des États-Unis contre les menaces cyber et physiques, en apportant du soutien, des outils, et des recommandations aux administrations, aux entreprises, et au public.
Dans le domaine de la cybersécurité, la CISA agit comme un centre de coordination pour prévenir les cyberattaques, réagir aux incidents, partager des informations sur les menaces, et promouvoir les meilleures pratiques de sécurité. Bien qu'américaine, son rôle et ses ressources influencent les pratiques de cybersécurité à l’échelle mondiale, en raison de sa transparence et de son leadership.
La liste KEV (Known Exploited Vulnerabilities) publiée par la CISA recense les vulnérabilités activement exploitées dans la nature, c’est-à-dire déjà utilisées dans des cyberattaques réelles. Cette liste a pour objectif d’aider les organisations à prioriser leurs efforts de correction, en se concentrant sur les failles qui représentent une menace immédiate.
En publiant cette liste, la CISA fournit un outil de gestion des risques très concret : elle signale non seulement les failles connues, mais aussi les plus critiques et les plus urgentes. Pour les agences fédérales américaines, la correction de ces failles est obligatoire dans des délais stricts. Mais au-delà des États-Unis, la KEV est largement consultée par les professionnels de la cybersécurité dans le monde entier pour orienter leur stratégie de patch management.