Директива CISA BOD 26-04 вводит устранение уязвимостей на основе рисков
10 июня 2026 года Агентство по кибербезопасности и защите инфраструктуры США выпустило директиву CISA BOD 26-04, определяющую современный подход к устранению уязвимостей на основе рисков в федеральных системах. Документ отменяет единые графики установки обновлений и перенаправляет ресурсы на ликвидацию брешей, представляющих наивысшую угрозу. Для коммерческих компаний и облачных провайдеров это меняет правила комплаенса: подрядчики обязаны согласовывать мониторинг своей инфраструктуры с федеральными метриками риска.
Четыре переменные для оценки риска уязвимостей
Согласно директиве, срочность исправления ошибки в ПО рассчитывается по четырем критериям. Это доступность актива извне, статус в каталоге известных эксплуатируемых уязвимостей (KEV), автоматизация эксплуатации и технический ущерб. Доступность актива показывает, доступно ли оборудование или ПО ведомства незарегистрированным пользователям из публичных сетей. Автоматизация эксплуатации проверяет, может ли злоумышленник автоматизировать все шаги атаки. Технический ущерб разделяет частичный контроль, такой как ограничение доступа или DoS-атака, и полный контроль, позволяющий управлять поведением системы или перехватывать учетные данные.
Требования BOD 26-04 для ведомств и облачных провайдеров
Требования BOD 26-04 обязывают гражданские федеральные ведомства США немедленно пересмотреть политики управления уязвимостями. Согласно разделу 44 U.S.C. § 3554(a)(1)(B)(ii), ведомства должны наладить непрерывный процесс устранения угроз и назначить ответственных лиц. Для систем в сторонних средах с сертификацией FedRAMP необходимо обеспечить непрерывный мониторинг через проектный офис FedRAMP. При использовании несертифицированных облачных провайдеров ведомства должны напрямую с поставщиками контролировать соответствие инфраструктуры директиве и документировать все технические отклонения.
Сравнение BOD 26-04 с BOD 22-01 и предыдущими директивами
Новая директива официально отменяет BOD 22-01 от 3 ноября 2021 года и BOD 19-02 от 29 апреля 2019 года. CISA объединило эти стандарты в единый документ, соответствующий циркуляру OMB A-130 и закону FISMA 2014 года. Если прошлые правила требовали жестких сроков патчинга для всех публичных систем, новый подход допускает отсрочку для низкорисковых брешей, чтобы сосредоточить силы на критических угрозах. Документ также развивает национальные приоритеты, зафиксированные в указе о развитии инноваций и безопасности ИИ.
Сроки исполнения CISA BOD 26-04 и соблюдение требований
График соблюдения требований вступил в силу 10 июня 2026 года для пересмотра регламентов, при этом при появлении критических угроз вводятся экстренные окна патчинга. В понедельник, 26 октября 2026 года, CISA продемонстрировало этот механизм, внеся две критические уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619) в каталог KEV. Ведомство выпустило трехдневный мандат CISA на патчинг, потребовав защитить системы до четверга, 29 октября 2026 года, после того как исследователи зафиксировали массовые попытки атак за четыре дня до выхода официального исправления.
Ресурсы для внедрения и технические руководства
Агентство CISA опубликовало руководство по внедрению CISA BOD 26-04 вместе с основным текстом, чтобы помочь специалистам по безопасности обновить рабочие процессы. Для упрощения оценки CISA предоставляет данные о статусе KEV, автоматизации атак и техническом ущербе для каждого идентификатора CVE через сервис Vulnrichment Program. При оценке доступности активов из публичных сетей ведомствам рекомендовано использовать руководство CISA по снижению сетевой доступности.
Что меняется для облачных поставщиков и подрядчиков
Для коммерческих облачных провайдеров и IT-подрядчиков директива меняет условия контрактов и процедуры контроля. Документ не применяется напрямую к частным подрядчикам, если это не прописано в договорах закупки, однако ведомства обязаны пересмотреть действующие контракты с сотрудниками по закупкам. Поставщики облачной инфраструктуры теперь должны вести учетные логи, поддерживать совместный непрерывный мониторинг и ускорять установку патчей при обнаружении высоких рисков.
Вопросы и ответы
Что такое директива CISA BOD 26-04?
Директива CISA BOD 26-04: это обязательный документ, изданный 10 июня 2026 года согласно 44 U.S.C. § 3552(b)(1), который устанавливает стандарты устранения уязвимостей на основе рисков для гражданских федеральных ведомств США.
Какие четыре переменные риска входят в CISA BOD 26-04?
Четырьмя переменными риска являются доступность актива, статус в каталоге KEV, автоматизация эксплуатации и технический ущерб.
Как BOD 26-04 влияет на FedRAMP и частные организации?
Ведомства, использующие системы в сертифицированных средах FedRAMP, должны координировать работу через проектный офис FedRAMP, а частные подрядчики должны согласовать условия контрактов с офицерами по закупкам.
Взгляд MOZGII
Как бы мы это построили
Чтобы создать механизм обновления на основе рисков для соответствия федеральным требованиям, мы бы начали с трех основных источников данных: инвентаризации программных активов, сканирования доступности из публичных сетей и потоков данных об уязвимостях вроде Vulnrichment. Мы бы подключили эти потоки к модели оценки, которая учитывает доступность активов, автоматизацию эксплойтов и уровни контроля систем. Аналитики безопасности разбирали бы спорные случаи, когда статус эксплойта не определен или когда ведомство просит о техническом отклонении. Автоматические ограничения соблюдали бы окна установки обновлений и направляли бы срочные тикеты напрямую командам инфраструктуры.
Система сбоит, когда журналы инвентаризации сторонних облаков неполны или устарели. Если неучтенный сервер подключается к интернету, модель оценки неверно рассчитывает доступность и пропускает опасные уязвимости. Единственный показатель, за которым мы бы следили: среднее время от добавления записи в каталог CISA до полного применения обновления на доступных системах.
Затем мы бы настроили автоматические проверки, которые тестируют, устраняют ли установленные обновления безопасности целевые уязвимости. Мы бы также добавили инструменты мониторинга контрактов, которые уведомляют сотрудников по закупкам каждый раз, когда облачные среды поставщиков отклоняются от руководящих директив.
Источники
Откуда взяты факты этой новости.