.webp){kind=small}
A CISA acaba de mudar as regras. Seu programa de vulnerabilidade está preparado?
O invasor já está dentro. Não hipoteticamente – estatisticamente. Quase metade das organizações que sofreram um incidente de segurança em produção no ano passado foram invadidas por meio de uma vulnerabilidade que sua própria equipe já havia identificado. Eles sabiam que ela existia. Simplesmente não conseguiram corrigi-la a tempo. Em 10 de junho, a CISA decidiu que "a tempo" agora significa três dias. A Diretiva Operacional Vinculativa 26-04: Priorizando Atualizações de Segurança com Base no Risco, reformula a maneira como as agências federais priorizam a correção de vulnerabilidades e, para os contratados da área de defesa que acompanham de perto, é uma prévia do que está por vir. A diretiva faz algo enganosamente simples. Ela instrui as agências a pararem de tratar todas as vulnerabilidades como igualmente urgentes.
Ela estabelece quatro critérios: se um ativo está exposto publicamente; se a vulnerabilidade está sendo explorada ativamente; se a exploração pode ser automatizada; e se a exploração resulta em controle total do sistema. Em seguida, vincula os prazos de correção à quantidade de fatores presentes. Uma vulnerabilidade que atenda a todos os quatro critérios deve ser corrigida em até três dias. Aproximadamente 60% podem ser adiadas completamente. Em média, uma organização leva 55 dias para corrigir metade de suas vulnerabilidades críticas. Três dias representam mais do que um aperto nos padrões. É um jogo completamente diferente. A BOD 26-04 se insere em um contexto de ameaça específico. O tempo médio para explorar vulnerabilidades conhecidas caiu para cerca de sete dias, e a exploração agora ocorre rotineiramente antes da publicação de uma correção.
Os alertas de agentes de ameaças aumentaram 225% entre 2024 e 2025. O tempo de escape mais rápido observado para um invasor, desde o acesso inicial até a movimentação lateral, agora é de 27 segundos. O que está acelerando esse período é a IA. A maior parte da discussão sobre IA e segurança cibernética se concentra em vulnerabilidades de dia zero, que são uma preocupação real. Mas o problema mais imediato é o que a IA faz com as vulnerabilidades conhecidas que foram divulgadas, mas permanecem sem correção. O WannaCry surgiu 59 dias após a sua correção. O Citrix Bleed levou duas semanas. Esse período está se esgotando. O modelo de adiamento da BOD 26-04 está sendo implementado em um ambiente de ameaças onde uma vulnerabilidade avaliada como não urgente hoje pode ter uma exploração funcional amanhã.
É por isso que o modelo tradicional de escanear, pontuar, enfileirar e corrigir não funciona mais. O diretor interino da CISA, Nick Andersen, afirmou claramente: a agência precisa estar disposta a dizer que alguns sistemas são menos importantes do que outros e direcionar recursos limitados para os riscos que realmente importam. Uma vulnerabilidade crítica nem sempre é um risco crítico. Sem contexto, as pontuações de gravidade são ruído. A pergunta certa é: "Quais exposições importam para nós agora, considerando o que os adversários estão fazendo ativamente?" A detecção não é a lacuna. Priorização e velocidade são.
A BOD 26-04 se aplica formalmente às agências civis federais do Poder Executivo, ainda não aos contratados, mas a própria Orientação de Implementação da CISA orienta as agências a garantir que os prazos de remediação apropriados façam parte dos acordos de nível de serviço ou que os provedores de serviços estabeleçam um acordo contratual. É provável que os agentes de contratação incorporem esses requisitos às Declarações de Trabalho à medida que as agências agirem de acordo com essa orientação. Para os contratistas da base industrial de defesa, o CMMC estabelece o mínimo necessário para a proteção. A BOD 26-04 eleva o limite máximo do que a prontidão operacional realmente exige. Há também duas limitações estruturais que os profissionais precisam entender. A primeira é o problema do adiamento. Adiado não é o mesmo que resolvido.
Os 60% das vulnerabilidades que a diretiva permite que as agências adiem não estão em um ambiente de ameaças estático; os prazos de exploração estão se comprimindo e os grupos de agentes mudam de alvo constantemente. Uma vulnerabilidade avaliada como de baixa urgência em junho pode ser explorada ativamente em agosto. Os defensores também precisam levar em conta o encadeamento de vulnerabilidades: os invasores frequentemente combinam vulnerabilidades de menor gravidade para obter acesso e, em seguida, escalam em direção a sistemas críticos. Uma vulnerabilidade que, por si só, nunca acionaria o prazo de três dias pode se tornar uma exposição crítica quando combinada com outra que abre um caminho de movimento lateral. O segundo é a deriva da postura de controle. O primeiro critério do BOD 26-04 – se um ativo vulnerável está exposto publicamente – soa como uma questão de inventário.
É um problema de validação contínua de controle. O estado de exposição muda constantemente à medida que as regras do firewall se alteram, as configurações da nuvem mudam e novos serviços são implementados. Uma vulnerabilidade por trás de um controle compensatório pode se tornar uma prioridade de três dias no momento em que esse controle falha silenciosamente. A maioria dos programas não saberá disso até a próxima varredura. Considere a mesma divulgação de vulnerabilidade sob dois modelos operacionais. Uma equipe cibernética de uma agência de defesa recebe informações de que um grupo adversário conhecido está discutindo a exploração de uma falha recém-divulgada em uma ferramenta de acesso remoto amplamente utilizada. Em um modelo tradicional, o alerta entra em uma fila: pontuação CVSS atribuída, ciclo de patch pendente.
Em um modelo de exposição contínua, o alerta é correlacionado imediatamente com a extensão da vulnerabilidade, a eficácia do controle atual e a dependência da missão. A equipe entende o que o adversário realmente pode fazer, considerando os controles em vigor no momento, em vez dos controles documentados na última avaliação. A remediação começa antes da atualização do catálogo KEV. Um subcontratado CMMC Nível 2 enfrenta a mesma divulgação. Uma equipe enxuta, sob um modelo tradicional, não tem o contexto necessário para saber se isso é relevante. Sob um modelo de exposição contínua, as perguntas sobre se isso está em nosso ambiente, se somos um perfil de alvo e se os adversários estão explorando ativamente organizações semelhantes têm respostas antes mesmo de serem feitas.
A diferença entre um risco gerenciado e um incidente que coloca o contrato em risco é o tempo entre o alerta e uma compreensão contextualizada do seu significado. A BOD 26-04 é uma diretriz sobre processos. O que ela implica é uma diretriz sobre inteligência. A CISA está certa ao afirmar que a priorização é a verdadeira alavanca. A diretriz cria uma estrutura baseada em risco onde não existia nenhuma e forçará conversas que foram adiadas por anos. Mas ela só se sustenta se a inteligência subjacente for contínua. O prazo de três dias exige saber quais sistemas correspondem ao perfil de exposição. O modelo de adiamento exige o monitoramento das vulnerabilidades adiadas à medida que o ambiente de ameaças evolui. Os critérios de postura de controle exigem visibilidade que reflita o que está sendo efetivamente aplicado agora, e não a análise do trimestre anterior.
.jpg)
