CISA BOD 26-04 exige la corrección de vulnerabilidades basada en riesgos
El 10 de junio de 2026, la Agencia de Seguridad de Infraestructura y Ciberseguridad publicó la directiva CISA BOD 26-04 para establecer un marco moderno de corrección de vulnerabilidades basada en riesgos en los sistemas federales. La norma aleja a las agencias de los cronogramas rígidos de parches para concentrar los recursos en las fallas que representan las mayores amenazas operativas. Para las empresas que operan en entornos de terceros y en la nube, la medida transforma la gestión de cumplimiento al exigir a contratistas y proveedores de servicios en la nube alinear el monitoreo de infraestructura con las métricas de riesgo federales.
Cuatro variables que determinan el riesgo de una vulnerabilidad
Bajo la directiva, la urgencia para corregir una falla de software se calcula mediante cuatro criterios operativos concretos. Estas variables son la exposición del activo, el estado en el catálogo de vulnerabilidades explotadas conocidas (KEV), la automatización del exploit y el impacto técnico. La exposición del activo determina si un elemento de hardware o software propiedad de la agencia es accesible para entidades no autenticadas a través de redes públicas. La automatización del exploit verifica si un atacante puede automatizar cada paso necesario para explotar la falla. El impacto técnico diferencia entre un control parcial, como el acceso limitado al software o ataques de denegación de servicio, y un control total, que permite al atacante el dominio completo sobre el comportamiento del software o la extracción confiable de credenciales de acceso.
Requisitos de BOD 26-04 para agencias federales y proveedores en la nube
Los requisitos de BOD 26-04 exigen que las agencias del Poder Ejecutivo Civil Federal revisen y actualicen sus políticas de gestión de vulnerabilidades de inmediato. Conforme a la norma 44 U.S.C. § 3554(a)(1)(B)(ii), las agencias deben establecer procesos continuos de remediación y asignar roles claros de ejecución. Para los sistemas de información federales en entornos de terceros, las agencias que mantienen ofertas certificadas bajo el Programa Federal de Gestión de Riesgos y Autorizaciones deben garantizar un monitoreo continuo a través de la Oficina de Gestión del Programa FedRAMP. Al utilizar proveedores de servicios en la nube no certificados, las agencias deben trabajar directamente con los proveedores para verificar que la infraestructura de soporte cumpla con todas las directrices de la norma y que las desviaciones técnicas queden plenamente documentadas.
BOD 26-04 frente a BOD 22-01 y directivas anteriores
Al evaluar BOD 26-04 frente a BOD 22-01, la nueva directiva revoca oficialmente tanto la directiva BOD 22-01 del 3 de noviembre de 2021 como la BOD 19-02 del 29 de abril de 2019. CISA consolidó estas guías independientes en una política única alineada con la Circular A-130 de la OMB y la Ley Federal de Modernización de la Seguridad de la Información de 2014. Mientras que las normas anteriores imponían cronogramas uniformes de corrección en todos los sistemas accesibles por Internet, el nuevo marco pospone las acciones frente a fallas de bajo riesgo para concentrar recursos en vulnerabilidades de alto riesgo. Asimismo, impulsa las prioridades nacionales establecidas en la Orden Ejecutiva para la Promoción de la Innovación y Seguridad de la Inteligencia Artificial Avanzada.
Plazos de cumplimiento y aplicación de CISA BOD 26-04
El cronograma de cumplimiento entró en vigor de inmediato el 10 de junio de 2026 para revisiones obligatorias de políticas, estableciendo ventanas urgentes de parches ante la aparición de amenazas críticas. El lunes 26 de octubre de 2026, CISA demostró este mecanismo de aplicación al incluir dos vulnerabilidades críticas de PHP2Shell, CVE-2026-109618 y CVE-2026-109619, en su catálogo de vulnerabilidades explotadas conocidas. CISA emitió un mandato de parche de 3 días que exigía a las agencias proteger los sistemas sin parchear a más tardar el jueves 29 de octubre de 2026, luego de que investigadores de seguridad observaran intentos masivos de explotación cuatro días antes del lanzamiento del parche por parte del proveedor.
Recursos para la implementación y orientación técnica
CISA publicó una guía de implementación de CISA BOD 26-04 junto con la directiva principal para ayudar a los responsables de seguridad de las agencias a actualizar los flujos de trabajo operativos. Con el fin de simplificar la puntuación de vulnerabilidades, CISA ofrece evaluaciones sobre el estado KEV, la automatización del exploit y el impacto técnico para cada identificador de vulnerabilidad común a través de servicios como el Programa Vulnrichment. Se instruye a las agencias federales a aplicar la Guía de Reducción de Exposición en Internet de CISA al evaluar la exposición de activos en interfaces de redes públicas.
Qué cambia para proveedores en la nube y contratistas federales
Para los proveedores comerciales de servicios en la nube y contratistas de tecnología del gobierno federal, la directiva cambia la forma en que se contractualiza y supervisa la corrección de vulnerabilidades. La norma no se aplica directamente a contratistas privados a menos que esté estipulado en los contratos de adquisición, pero las agencias federales deben revisar todos los contratos activos con los Oficiales de Contratación para introducir las modificaciones necesarias. Los proveedores que ofrecen infraestructura en la nube a agencias federales ahora deben mantener registros de inventario claros, respaldar el monitoreo continuo colaborativo y ajustar los flujos de trabajo de parches para cumplir con mandatos de emergencia acelerados cuando se detecten fallas de alto riesgo.
Preguntas y respuestas
¿Qué es la Directiva Operativa Vinculante CISA 26-04?
La Directiva Operativa Vinculante CISA 26-04 es una instrucción obligatoria emitida el 10 de junio de 2026 bajo la norma 44 U.S.C. § 3552(b)(1) que establece estándares de corrección de vulnerabilidades basada en riesgos para las agencias del Poder Ejecutivo Civil Federal.
¿Cuáles son las cuatro variables de riesgo en CISA BOD 26-04?
Las cuatro variables de riesgo son la exposición del activo, el estado en el catálogo de vulnerabilidades explotadas conocidas, la automatización del exploit y el impacto técnico.
¿Cómo afecta la directiva BOD 26-04 a FedRAMP y a las organizaciones del sector privado?
Las agencias que operan sistemas en entornos certificados por FedRAMP deben coordinarse a través de la Oficina de Gestión del Programa FedRAMP para mantener el cumplimiento, mientras que los contratistas privados deben trabajar con los oficiales de contratación de la agencia para alinear los términos de los contratos de adquisición con los requisitos de la directiva.
La visión de MOZGII
Cómo lo construiríamos
Para construir un motor de parcheo basado en riesgos para el cumplimiento federal, empezaríamos con tres fuentes de datos principales: el inventario de activos de software, los escaneos de exposición en redes públicas y las fuentes de vulnerabilidades como Vulnrichment. Conectaríamos estas fuentes a un modelo de puntuación que evalúe la exposición de los activos, la automatización de exploits y los niveles de control del sistema. Los analistas de seguridad revisarían los casos límite donde el estado del exploit sea incierto o cuando una agencia solicite una desviación técnica. Las protecciones automatizadas aplicarían las ventanas de parcheo y enviarían los tickets urgentes directamente a los equipos de infraestructura.
El sistema falla cuando los registros de inventario en la nube de terceros están incompletos o desactualizados. Si un servidor no identificado se conecta a internet, el modelo de puntuación calcula mal la exposición y pasa por alto fallas peligrosas. La única métrica que vigilaríamos es el tiempo promedio desde las adiciones al catálogo de CISA hasta la implementación completa del parche en los sistemas expuestos.
Luego, crearíamos verificaciones automatizadas que comprueben si los parches de seguridad aplicados resuelven con éxito las fallas detectadas. También añadiríamos herramientas de monitoreo de contratos que notifiquen a los encargados de contratación cada vez que los entornos en la nube de los proveedores se desvíen de las directrices.
Fuentes
De dónde salen los datos de esta nota.