CISA BOD 26-04 ने जोखिम-आधारित साइबर सुरक्षा पैचिंग को किया अनिवार्य

जोखिम का निर्धारण करने वाले चार चर

निर्देश के तहत, किसी सॉफ्टवेयर खामी को ठीक करने की तत्परता की गणना चार अलग-अलग परिचालन मानदंडों का उपयोग करके की जाती है। इनमें एसेट एक्सपोजर, Known Exploited Vulnerabilities कैटलॉग स्थिति, एक्सप्लॉइट ऑटोमेशन और तकनीकी प्रभाव शामिल हैं। एसेट एक्सपोजर यह निर्धारित करता है कि एजेंसी के स्वामित्व वाला हार्डवेयर या सॉफ्टवेयर सार्वजनिक नेटवर्क पर अनधिकृत संस्थाओं के लिए सुलभ है या नहीं। एक्सप्लॉइट ऑटोमेशन यह जांचता है कि क्या कोई हमलावर खामी का फायदा उठाने के लिए आवश्यक हर कदम को स्वचालित कर सकता है। तकनीकी प्रभाव आंशिक नियंत्रण (जैसे सीमित सॉफ्टवेयर पहुंच या डिनायल-ऑफ-सर्विस हमले) और पूर्ण नियंत्रण के बीच अंतर करता है, जो हमलावर को सॉफ्टवेयर व्यवहार पर पूरा नियंत्रण या लॉगिन क्रेडेंशियल प्राप्त करने की अनुमति देता है।

संघीय एजेंसियों और क्लाउड प्रदाताओं के लिए BOD 26-04 की आवश्यकताएं

BOD 26-04 की आवश्यकताएं अनिवार्य करती हैं कि Federal Civilian Executive Branch एजेंसियां तुरंत अपनी भेद्यता प्रबंधन नीतियों की समीक्षा और अद्यतन करें। 44 U.S.C. § 3554(a)(1)(B)(ii) के तहत, एजेंसियों को निरंतर सुधार प्रक्रियाएं स्थापित करनी होंगी और निष्पादन के लिए स्पष्ट भूमिकाएं सौंपनी होंगी। थर्ड-पार्टी वातावरण में संघीय सूचना प्रणालियों के लिए, FedRAMP प्रमाणित सेवाओं को बनाए रखने वाली एजेंसियों को FedRAMP Program Management Office के माध्यम से निरंतर निगरानी सुनिश्चित करनी होगी। गैर-प्रमाणित क्लाउड सेवा प्रदाताओं का उपयोग करते समय, एजेंसियों को वेंडरों के साथ सीधे काम करना होगा ताकि यह सत्यापित किया जा सके कि सहायक ढांचा सभी निर्देशों का अनुपालन करता है और तकनीकी विचलन पूरी तरह से प्रलेखित हैं।

BOD 26-04 बनाम BOD 22-01 और पिछले निर्देश

BOD 26-04 बनाम BOD 22-01 के मूल्यांकन में, नया निर्देश 3 नवंबर 2021 के BOD 22-01 और 29 अप्रैल 2019 के BOD 19-02 दोनों को आधिकारिक तौर पर रद्द करता है। CISA ने इन अलग-अलग दिशानिर्देशों को OMB Circular A-130 और Federal Information Security Modernization Act of 2014 के अनुरूप एक एकल नीति में समेकित किया। जबकि पिछले मानकों ने इंटरनेट-सुलभ प्रणालियों में एक समान पैचिंग शेड्यूल लागू किया था, नया ढांचा उच्च-जोखिम वाली कमजोरियों पर संसाधन केंद्रित करने के लिए कम-जोखिम वाली खामियों पर कार्रवाई को टालता है। यह Executive Order Promoting Advanced Artificial Intelligence Innovation and Security के तहत निर्धारित राष्ट्रीय प्राथमिकताओं को भी आगे बढ़ाता है।

CISA BOD 26-04 अनुपालन समय सीमा और प्रवर्तन

अनिवार्य नीति संशोधनों के लिए अनुपालन समय सीमा 10 जून 2026 को तुरंत प्रभावी हो गई, जिसमें गंभीर खतरे सामने आने पर तत्काल पैच विंडो स्थापित की गई है। सोमवार, 26 अक्टूबर 2026 को, CISA ने दो गंभीर PHP2Shell कमजोरियों, CVE-2026-109618 और CVE-2026-109619 को अपने Known Exploited Vulnerabilities कैटलॉग में जोड़कर इस प्रवर्तन तंत्र का प्रदर्शन किया। सुरक्षा शोधकर्ताओं द्वारा वेंडर पैच रिलीज़ से चार दिन पहले व्यापक शोषण के प्रयासों को देखने के बाद, CISA ने एक CISA 3 day patch mandate जारी किया, जिसमें एजेंसियों को गुरुवार, 29 अक्टूबर 2026 तक बिना पैच वाली प्रणालियों को सुरक्षित करने की आवश्यकता थी।

कार्यान्वयन और तकनीकी मार्गदर्शन के लिए संसाधन

CISA ने एजेंसी सुरक्षा अधिकारियों को परिचालन कार्यप्रवाह को अपडेट करने में सहायता के लिए मुख्य निर्देश के साथ CISA BOD 26-04 implementation guidance प्रकाशित किया। भेद्यता स्कोरिंग को सरल बनाने के लिए, CISA Vulnrichment Program जैसी सेवाओं के माध्यम से प्रत्येक सामान्य भेद्यता पहचानकर्ता के लिए KEV स्थिति, एक्सप्लॉइट ऑटोमेशन और तकनीकी प्रभाव का मूल्यांकन प्रदान करता है। सार्वजनिक नेटवर्क इंटरफेस पर संपत्ति के संपर्क का मूल्यांकन करते समय संघीय एजेंसियों को CISA के Internet Exposure Reduction Guidance को लागू करने का निर्देश दिया गया है।

क्लाउड वेंडरों और संघीय ठेकेदारों के लिए क्या बदलता है

वाणिज्यिक क्लाउड सेवा प्रदाताओं और संघीय प्रौद्योगिकी ठेकेदारों के लिए, यह निर्देश बदलता है कि भेद्यता सुधार का अनुबंध और निगरानी कैसे की जाती है। यह निर्देश सीधे निजी ठेकेदारों पर लागू नहीं होता है जब तक कि खरीद अनुबंधों द्वारा अनिवार्य न किया गया हो, लेकिन संघीय एजेंसियों को आवश्यक संशोधन पेश करने के लिए Contracting Officers के साथ सभी सक्रिय अनुबंधों की समीक्षा करने की आवश्यकता है। संघीय एजेंसियों को क्लाउड इन्फ्रास्ट्रक्चर प्रदान करने वाले वेंडरों को अब स्पष्ट इन्वेंट्री लॉग बनाए रखने होंगे, सहयोगात्मक निरंतर निगरानी का समर्थन करना होगा, और उच्च जोखिम वाली खामियों की पहचान होने पर त्वरित आपातकालीन जनादेशों को पूरा करने के लिए पैचिंग वर्कफ़्लो को समायोजित करना होगा।

सवाल और जवाब

CISA Binding Operational Directive 26-04 क्या है?

CISA Binding Operational Directive 26-04 44 U.S.C. § 3552(b)(1) के तहत 10 जून 2026 को जारी किया गया एक अनिवार्य निर्देश है जो Federal Civilian Executive Branch एजेंसियों के लिए जोखिम-आधारित भेद्यता सुधार मानक स्थापित करता है।

CISA BOD 26-04 में चार जोखिम चर कौन से हैं?

चार जोखिम चर एसेट एक्सपोजर, Known Exploited Vulnerabilities कैटलॉग स्थिति, एक्सप्लॉइट ऑटोमेशन और तकनीकी प्रभाव हैं।

BOD 26-04 FedRAMP और निजी क्षेत्र के संगठनों को कैसे प्रभावित करता है?

FedRAMP प्रमाणित वातावरण में काम करने वाली एजेंसियों को अनुपालन बनाए रखने के लिए FedRAMP Program Management Office के माध्यम से तालमेल बिठाना होगा, जबकि निजी ठेकेदारों को खरीद अनुबंध की शर्तों को निर्देश की आवश्यकताओं के साथ संरेखित करने के लिए एजेंसी अनुबंध अधिकारियों के साथ काम करना होगा।