La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha annunciato l'11 giugno una nuova Binding Operational Directive, la BOD 26-04, che ridisegna le regole di gestione delle vulnerabilità per le agenzie civili federali (FCEB). La novità più rilevante è la drastica riduzione dei tempi di remediation: per le falle più pericolose il termine scende ad appena tre giorni.

La direttiva sostituisce e revoca le precedenti BOD 19-02 e BOD 22-01, introdotte rispettivamente nel 2019 e nel 2021, quest'ultima alla base del noto catalogo KEV (Known Exploited Vulnerabilities) che censisce le vulnerabilità sfruttate attivamente.

Quattro criteri per stabilire la priorità

Il nuovo approccio abbandona le scadenze uniformi in favore di una valutazione basata sul rischio reale. Quattro i fattori che determinano l'urgenza: l'esposizione pubblica dell'asset su Internet, la presenza della vulnerabilità nel catalogo KEV, la possibilità di automatizzare lo sfruttamento su larga scala e il livello di controllo che un attaccante può ottenere, parziale o totale.

In base alla combinazione di questi elementi, le agenzie ricevono scadenze differenziate: si va dai tre giorni per i casi più gravi, ovvero vulnerabilità sfruttate, esposte e automatizzabili che garantiscono pieno controllo del sistema, fino a due settimane per le situazioni meno urgenti, dove lo sfruttamento automatizzato non è possibile o concede solo un controllo parziale.

Ambito e tempi di attuazione

La direttiva si applica a tutti i sistemi informativi delle agenzie civili federali: infrastrutture on-premise, sistemi ospitati da terze parti e ambienti cloud, FedRAMP e non. Restano esclusi i sistemi militari, quelli dell'intelligence e le aziende private.

L'attuazione sarà graduale: entro 60 giorni le agenzie dovranno aggiornare le proprie policy di vulnerability management basandole sui dati CVE e KEV, mentre entro 180 giorni dovranno rispettare pienamente le nuove scadenze di remediation e garantire monitoraggio continuo e reportistica dettagliata sugli asset.

Perché interessa anche le aziende europee

Come già accaduto con le direttive precedenti, l'impatto della BOD 26-04 andrà ben oltre il perimetro federale americano. Il catalogo KEV è diventato negli anni un riferimento globale per stabilire le priorità di patching, adottato da aziende e pubbliche amministrazioni di tutto il mondo. La nuova logica risk-based, con finestre di intervento di pochi giorni per le falle sfruttate attivamente, è destinata a diventare il parametro con cui misurare la maturità dei programmi di vulnerability management, anche per le organizzazioni italiane ed europee che devono già confrontarsi con gli obblighi di gestione del rischio richiesti dal quadro normativo comunitario.

Il messaggio di fondo è chiaro: quando una vulnerabilità è sfruttata attivamente, i tempi di reazione si misurano in ore, non in settimane. Gli attaccanti lo hanno capito da tempo; ora anche i difensori sono chiamati ad adeguarsi.