A CISA BOD 26-04 hogyan definiálja az új biztonsági vezetőkre szóló mérőszámokat a veszélyes helyzetek kezeléséhez

A CISA BOD 26‑04 megváltoztatja, hogyan javítanak a szövetségi ügynökségek, és hogyan kell a biztonsági vezetőknek mérniük, igazolniuk, és közvetíteniük a kiberkockázatot a felső vezetés és a bizottságok felé.

Kulcsbeli megállapítások
A BOD 26‑04 előírja, hogy az ügynökségek kockázat‑alapú sérülékenység‑prioritizálási döntéseket hozzanak és védjék meg, ideértve a korrigálás elhalasztásának döntéseit is. Ez a felelősségváltoztatás a sérülékenység‑kezelést nem csupán egy technikai műveletté, hanem egy kormányzati diszciplínává alakítja, amely audit‑kész dokumentációt követel meg. A hagyományos sérülékenység‑kezelési KPI-k (teljes javított sérülékenységek, átlagos javítási idő, rendszerek %–a kiértékelt) nem mérik azt, amit a BOD 26‑04 igényel. A fontos mérőszámok a lefedettség szélessége és a kockázati szint szerinti helyreállítási arányok. A Tenable ügyfél‑telemetriai elemzése kimutatta, hogy a lefedettség szélessége erősebb kockázati előrejelző, mint a javítási sebesség, függetlenül a vállalat méretétől vagy érettségétől – kutatások is megerősítik, hogy a szervezetek évente 10 %‑nál kevésbé tudnak hasonló nyitott sérülékenységek kezelésében.

A irányelv hatóköre meghaladja a szövetségi ügynökségeket, és több ezer szövetségi szerzőt kell, hogy a BOD 26‑04 szerint mutatva betartsák. A szövetségi ellátási láncban található szervezeteknek operatív kötelezettségként kell kezelniük az irányelvet, nem tanácsadó útmutatásként.

A javítási metrikák helyett a kockázati expozíció metrikái elfogadása nem csak szövetségi jellegű jelenség. Az iparági jelentési szabványok, a biztosítási underwriting modellek és a bizottsági szintű felelősségvállalási elvárások mind ugyanarra a követelésre vannak összpontosítva: bizonyítsa, hogy ténylegesen csökkenti a kockázatot, nem csupán lezárja a jegyeket.

A CISA BOD 26‑04 csoportban rejtett jelentési előírás
A BOD 26‑04 legtöbb nyilvánossága operatív követelményekre fókuszál: a négyváltozós modell, a 16 szintű helyreállítási mátrix, az elmúlt három napos BOD 26‑04 javítási ütemterv, kötelező forensikus szűréssel. Ezek jelentősek, és a Tenable részletesen bemutatja őket a BOD 26‑04 Q&A‑s felületen.
Azonban a direktíván belül rejtett, kevesebb figyelmet kapott kötelezettség is megvalósulhat: az ügynökségeknek demonstrálniuk kell, hogyan priorizálják a sérülékenységeket, és hogyan igazolják döntéseiket, különösen az esetekben, amikor úgy döntenek, hogy a javítást elhalasztják. A mérőszámokat valóban egyszerű, számított javítások helyett a magas kockázati expozíció csökkentésére szabott értékek követik. Ez nem egy apró eljárásfrissítés, hanem a kiberbiztonsági programok mérésének, jelentésének és felelősségre vonásának alapvető forradalma.

A CISOs és biztonsági vezetők számára a BOD 26‑04 nem csak a javítási folyamatot változtatja meg. Bár a BOD 26‑04 irányelv hivatalosan a szövetségi ügynökségeken irányul, a keretrendszere gyorsan a magánszféra blueprints-kevalasztója áll. Végül azt a dolgot hozza, hogy a vállalati igazgatótanácsoknak mit kell hallaniuk.

Miért kudarcot vallanak a hagyományos sérülékenység‑kezelési metrikák a BOD 26‑04 alatt
Több évtől világszerte a biztonsági vezetők a sérülékenység‑kezelési programokat a mennyiség szerint mérik:

• Azonosított sérülékenységek teljes száma
• Alkalmazott javítások száma
• Rendszerek 30 napos ablakban %-a, melyet kiértékeltek
• Átlagos javítási idő

Ezek a metrikák könnyen gyűjthetők, jelenthetők és hosszú távon is trendekbe jöhetnek, de egyre gyengébb linket mutatnak a tényleges kockázathoz. A Tenable saját telemetriai elemzése a globális ügyfelek körén megerősíti, amit sok biztonsági vezető (hiba) gyanít, de nem tud bizonyítani: a monitorozási lefedettség szélessége erősebb, jósló kockázati jelzés, mint a javítási sebesség.

Megelőzetlen eszközök – léteznek állandóan nyitott támadási felületek, amelyek nem hoznak létre felfedezéseket, nem prioritizálásra kerülnek és nem is ellenőrizhetők, hogy javítva lettek-e. Ennek ellentéte, a monitorált eszközök tovább áthaladnak a kockázati áramlási útvonalon még, ha a javítás nem a maximális sebességben történik.

Független iparági kutatások erőteljesen megerősítik a jelentés átalakítását a javítási sebességből a monitorozási lefedettségre:

• A korlátozás – A Cyentia Institute „Prioritization to Prediction” kutatása (3,6 milliárd sérülékenység‑megfigyelés elemzés) kimutatta, hogy a tipikus szervezet csak körülbelül 10 % nyitott sérülékenységet tud javítani havonta, függetlenül a méretétől, iparágtól vagy érettségtől.
• A MTTR hibája – A standard MTTR (Mean Time to Remediate) számítások kizárják a nyitott, nem javított sérülékenységeket, és torzíthatják a metrikákat azokra a tételkre, melyek könnyebben lezárhatók, de nem feltétlenül a legkritikusabb vagy legnagyobb kockázati problémák.
• Az eszközkompozíciós torzulás – A helyreállítási felezőidő nagymértékben változik az eszközök típusától függően: a Microsoft Windows rendszerek esetén átlagosan 36 nap, míg a hálózati eszközök esetén 369 nap.

A BOD 26‑04 azonban ezt explicit módon meghatározza: a helyreállítási prioritás a sebezhetőség kockázata alapján határozódik meg (ha kihasználják), nem a teljes szám alapján. Az elhalasztási szint („fix on system upgrade”) hivatalos módja a adatnak, amely mindig megmutatta: a legtöbb sérülékenység várhat. Azok, amelyek nem várhatók, a kihasználási bizonyíték, az expozíció, az automatizációs lehetőség és a hatás súlya alapján határozzák meg.

Egy olyan CISO, aki azt mondja, „Ezen a negyedévben 95 % –ről javítottunk kritikus CVE-ket”, egy olyan metrikát közöl, amelyet a BOD 26‑04 már nem tekint elegendőnek. A releváns kérdés: a misszió‑kritikus rendszerekre való valós világkockázatot okozó sérülékenységek közül mekkora %-t javítottunk el a direktíva határidői szerint, és mennyi támadásfelületünk volt valóban megfigyelt, amikor ezt értékeljük?

Az új biztonsági metrikák: mit igényel a BOD 26‑04

A végtelenségetől a kockázat‑alapú jelentés irányába való elmozdulás új KPI-ket igényel. A BOD 26‑04 megvalósító szervezeteknek figyelembe kell venniük azokat a metrikákat, amelyek a direktíva négyváltozós prioritizálási modelljét tükrözik:

• Helyreállítási betartás a BOD szint szerint
  Milyen % – a sérülékenységektől a BOD szint minden egyes szintjén (három napi forensikus szűrés, három nap, 14 nap, 60 nap, rendszerváltás) időben lett javítva? Ez a fő megfelelőségi mérőszám. Csökkenti a „legátlagos javítási idő” kifejezést, helyett egy kockázati súlyozott mérőszámot használ, amely megkülönbözteti a három napi kritikus és elhalasztható, alacsony kockázatú tesztet.

• Élő kihasználású sérülékenységek lefedettsége
  Mennyire % –a a KEV‑foglalt sérülékenységek közül lett javítva? Ez a legveszélyesebb ismert fenyegetésekre adott válaszokat méri, nem pedig a sérülékenység populáció teljes méretét.

• Expozíciós felület csökkenése idővel
  Milyen trend van a publikusan kitéve eszközök (BOD Változó 1) esetében? Az internet gátli eszközök száma közvetlenül azonosítható, miközben a sérülékenységek belehelyeződnek a késleltetési szintbe. A Tenable teljes CISA Vulnrichment korpusz elemzése kimutatta, hogy egy eszköz eltávolítása a publikusan kitéve állapottól 76,7 % –a a hozzá kapcsolódó CVE-k hosszabb helyreállítási ablakba kerülhet. Ez az exposzió csökkentése a legmagasabb hatású megfelelőség‑befektetés.

• Független kutatások megerősítik, hogy miért jobb a felmérés lefedettsége a kockázati kimenetek jelzője – az XM Cyber és a Cyentia Institute közös elemzése – több mint 60 millió expozíció és 10 millió entitás vizsgálata alapján – kimutatta, hogy 75 % a biztonsági expozíció nem tesz a kritikus eszközökre kockázatot: ők a támadási gráf halálozó végpontjai. Csak 2 % az expozíciók „görgőpontjai”, ahol több támadási út törik át a kritikus eszközökhöz. Ez megerősíti a Tenable telemetriai eredményeit a másik szögből: ha a monitorozás nem fed le azokat az entitásokat, ahol ezek a görgőpontok vannak, a javítási sebesség a többi 98 % esetében zajt kever a kockázati jelek közé.

• Forensikus szűrés teljesítési aránya
  A legmagasabb kockázati rang (KEV + teljes controle) esetében mekkora % –a a sérülékenységeknek, amelyek megkapta a BOD 26‑04 három napos időablakban szükséges forensikus szűrést? Ez a legújabb, működésileg leginkább megvalósítható követelés értékelése.

• Elhalasztási indoklévő dokumentáció aránya
  A „fix on system upgrade” szintű sérülékenységek esetében mekkora % –a rendelkezésre álló kockázat elfogadási döntésekkel? A BOD 26‑04 megköveteli az elhalasztási döntések indoklását, ami azt jelenti, hogy minden eladott sérülékenységnek átlátható indoklást kell nyújtania.

• Űgy idő az KEV hozzáadása és a javítás között
  Hogy gyorsan reagál az a szervezet, amikor egy CVE belekerül a KEV katalógusába és a BOD idővonalas sömörül? Ez méri a szervezet reakciósebességét a változó idővonalakra.

Ezeknek a metrikáknak közös jellemzője, hogy kockázati csökkentési eredményeket mérnek, nem csak a tevékenységi mennyiséget. Egy program, amely kevesebb teljes sérülékenységet javít, de 100 % –ről határozza meg a 3‑napos rang minden elemet a három napnál 3 nap alatt, jobban teljesít a BOD 26‑04 alatt, mint egy, amely a teljes 2 szor több CVE‑t javít, de a kritikus határidőket elmarad.

A felelősségvállalási követelmény: az elhalasztási döntések indoklása
A BOD 26‑04 olyan dolgot vezet be a szövetségi sérülékenység‑kezelésben, amit még soha nem tapasztaltak: a priorizálási döntések indoklására térő formális követelmény. Ha egy ügynökség a következő rendszerfrissítési ciklusra szalonoz egy sérülékenység javítását, annak dokumentálnia és megoldhatónak kell lennie. Az audit nyomú követelés így teremtődik: minden elhalasztott sérülékenység esetében a szervezetnek bizonyítania kell:

1. melyik a négy változót értékelte;
2. milyen kombináció kaptád a sérülékenységet a elhalasztási szintbe;
3. miért bízik az ügynökség benne, hogy az elhalasztás nem teremt elfogadhatatlan kockázatot;
4. ha bármelyik változó megváltozik (pl. CVE a KEV‑be kerül, vagy egy eszköz újra publikus lesz az interneten), a döntést újra értékelni kell.

CISO-k számára ez azt jelenti, hogy a sérülékenység‑kezelési programnak olyan jelentést kell készítenie, amely informatív és bizonyíték‑alapú. Dashboardok és jelentések nem csupán jelentési eszközök lennének – megfeleléskövető dokumentációval. Az eszköz, mely a jelentéseket készíti, képesnek kell lennie minden CVE‑re minden eszközön a négyváltozós értékelés rögzítésére, a változások nyomon követésére és az elhalasztási döntés lejárati idejére.

Ez a pont, ahol a Tenable One Exposure Management Platform közvetlen képességet nyújt: a folyamatos eszközfelfedezés együtt a kockázati alapú priorizálás keverése audit‑kész adatbázis‑alapot hoz létre, amely megfelel a BOD 26‑04 felelősségvállalási követelményeinek. Amikor minden eszköznek folyamatosan frissül az expozíciós státusza, minden CVE‑nek a Vulnrichment‑ból származó változó értékelése van, és minden prioritási döntés rögzítve van, a szövetségi ügynökségek és más szervezetek bármikor demonstrálhatják a megfelelést – nem csak a legutolsó szkennelés időpontján.

Több ezer szövetségi szerzőt és ellátási lánc – A BOD 26‑04 a szövetségi civil működő hatóságok (FCEB) ügynökségeire kötelező. De a direktíva operatív hatóköre messze túlmutat a jogi kötelezettségen. A CISA előírja: „Áttekintsd az összes szerződést, hogy meghatározd, milyen módosításokra van szükség a Directive szükséges intézkedésének végrehajtásához.” Ezzel több ezer, szövetségi szerződést rendelkező vállalat figyelemmel keltődik. Azok a szervezetek, amelyek szövetségi szerződésűket tartják, akik kormányzati információs rendszereket üzemeltetnek vagy felügyelt biztonsági szolgáltatásokat nyújtanak, a BOD 26‑04 is módosítási szempontként fog megjelenni a szerződéses egységekben, a munkalapokban, a biztonsági követelmények mátrixokban és a szerződés módosítása sokállal.

Az ilyen jónkári szervezetek számára nem tanácsadó útmutatás, hanem szerződéses kötelezettség a BOD 26‑04 megfelelés. A jelentési átalakítás itt is érvényes. A szövetségi programmenedzserek azt kérdezik a vállalkozóiktól, amelyeket a direktíva ők kér, amely:

• Melyik sérülékenységeket priorizáltatok?
• Miért?
• Tudjátok-e igazolni, hogy betartottátok a határidőt?

A szerződések, akik nem képesek BOD 26‑04‑e alakú kockázati metrikákat bemutatni, versenyhátrányt szenvednek új szerződések és megújulás esetén.

Az ellátási láncban lévő szervezeteknek most kezdeniük kell:

• Ha a sérülékenység‑kezelési eszközeik képesek a BOD 26‑04 által igényelt kockázati expozíciós metrikákat előállítani?
• Értékeli az egyes változó modellt a kezelésükben?
• Felkészülnek audit‑kész dokumentációt készíteni az elsődleges döntéseikről?

Konvergencia – miért érvényes a BOD 26‑04 a kormány határain túl
A BOD 26‑04 egy jelentési átalakítást hajt végre, amely egy szélesebb kiberbiztonsági iparági konvergenciát tükröz: a biztosítási underwriting a bináris kérdőív modell helyett bizonyíték‑alapú kockázati értékelés felé tolódik. A cyberbiztosítók egyre gyakrabban kérdezik: „Hogyan priorízálod a javítókat, és tudd-e bemutatni, hogy a legnagyobb kockázatú sérülékenységek a legelőzremás, napokat”. A BOD 26‑04 keretrendszerei egy ellenőrizhető választ adnak erre a kérdésre.

A bizottság szintű felelősség a kockázati expozíciós metrikákat valóban előnyben részesítik az aktivitási metrikák helyett. A vezetők egyre inkább felelősségre vonják a kiberbiztonsági kormányzást. Egy olyan bizottság, amelyet azt mondják, „Ezen a negyedévben 50 000 sérülékenységet javítottunk”, nem tudja értékelni, milyen hatással van a szervezet kockázati helyzete a 50 000 javítással. Másrészt egy olyan bizottság, amely mondja: „100 % –ről a három napos szintű sérülékenységek időben javítva lettek, és a publikusan kitéve támadási felületünk 15 % –ről csökkent”, megalapozott döntéseket hozhat.

A szektorok közötti (pénzügyi szolgáltatások, egészségügy, kritikus infrastruktúra) szabályozási irányelv egyre a kockázati alapú keretrendszerek felé halad. A BOD 26‑04 a szövetségi kormány verziója, de a lényege ( a valós világkockázat alapján priorizálni, nem a elméleti súly alapján) más szektor-specifikus szabályozások és standardok alakulására adja az alapot.

Kikerülés hogyan készülj a BOD 26‑04 megfelelésére
A BOD 26‑04 helyreállítási határidőre 180 napos határidő a december 2026 körül van. De az átalakítás csak azonnal megkezdődhet, mivel a irányelv politikai frissítési követelése már életben van.

Öt lépés a sikerhez:

1. Auditold a jelenlegi jelentéseidet a négyváltozós modell szerint.
   Adj értéket a külső kiértékelés, a már meglévő sérülékenység‑kezelési dashboardok, a bizottsági jelentések. Ha csak a javítási mennyiséget méri a kockázati szintekben való különbség nélkül, akkor nem felel meg a BOD 26‑04 felelősségvállalási követelményeinek.

2. Azonosítsd, hogy milyen új KPI-ken (BOD szint megfelelés, KEV lefedettség, expozíciós csökkentés, forensikus szűrés aránya, elhalasztási dokumentáció) a jelenlegi eszközeid képesek, és melyekre új képességekre van szükség.

3. Alakítsd ki a kockázati expozíciós jelentés adateszkülete.
   A négyváltozós modellhez minden sérülékenység és minden eszköz esetében ismerni kell:

   • Kínál-e a vállalkozó publikus expozíciót?
   • A CVE a KEV-ben van?
   • Automatikusan kihasználható?
   • Teljes vagy részbeni ellenőrzést ad?

   A nem képesek ezen kérdéseknek állandó válaszát nem tudják megfelelni a BOD 26‑04 vagy a kockázati expozíciós metrikek előállítását.

4. Azonnal építsd az audit nyomot, ne várj a 180 napig.
   Minden döntésed, amelye a BOD 26‑04 határintézkedésekkel kapcsolatos, a négyváltozó értékeléssel kell elsajátítani. Ha a tagok megkérnek: „Miért halasztottad ezt a sérülékenységet?”, a válasznak dokumentálva, időbélyegzett, és a döntés időpontjában fennálló változóihoz nyilvánó hivatkozással kell rendelkeznie.

5. Adj kétszámú mélyek m,kozzlthrśrá prâactics: Hallgass ‘Kvantázia’ –

   (Záró mondat kó proposing a two-metric board communication model – let’s fix.)

   Két metrikával a bizottságok kommunikálása – A felsorolt hat operatív KPI a biztonsági csapat számára. A bizottság és munkavilággal való kommunikáció során a Tenable kutatás egyszerű, két metrikás struktúrát jelöl ki:

   • Lefedettség szélessége: a szervezet támadési felületének aktív megfigyelés alatt része – legfőbb kockázati indikátor.
   • Kockázati szint szerinti helyreállítási arány: a magas kockázatú sérülékenységek % –a, amely a BOD alkalmazható időtávja alatt javítva lett – a részértési teljesítési indikátor.

   Mindkét metrikát kötelezően kell mérni; semelyike önmagában nem elegendő.

   Késleltetett átlesztés, fokozatos átállás – Ha a jelenlegi bizottsági jelentés a javítási számokat és a CVSS eloszlásokat emeli ki, kezdd el cserélni a kockázati expozíciós metrikákat a szokásosakkal, de nem egy pillanat alatt.

   A BOD 26‑04 nyelvezetének bevezetése: a rossz részletes megfogalmazás: az aktíról és a publikusan kitéve eszközökön, a kockázati szint szerinti javítás helyes jelek.

Áthagyás a tevékenységtől a felelősségre
A javítási metrikák helyett a kockázati expozíció metrikák felé való elmozdulás nem csak szövetségi megfelelés. Az egész kiberbiztonsági iparág elmozdulás ura: a volúmen‑alapú sérülékenység‑kezelés már nem tükrözi a tényleges kockázatot. A Tenable ügyfél‑telemetriai elemzése kimutatta, hogy a monitorozási lefedettség szélessége erősebb kockázati előrejelző, és a Cyentia, XM Cyber és a CISA független kutatási adatai kidolgozott módszertanokkal erősítik ezt a konklúziót. A BOD 26‑04 formálisabban definiálta ezt a változást a szövetségi ügynökségek számára. Ajánlatos a BOD 26‑04 irányelvet előbb alkalmazni, függetlenül az ágazattól – ezek a szervezetek a legjobban kiszállnak, ha bemutathatják, hogy programjaik csökkentik a valós világ kockázatát, nem csupán tételt bezárnak.

Csatlakozz a Tenable Research Special Operations (RSO) csapathoz a Tenable Connecten keresztül – további beszédek a legújabb kiberfenyegetésekről.

Tudj meg többet a Tenable One, a modern támadási felület egyensúlyozós exposure management platformról.

Tudj meg többet a CISA BOD 26‑04: kockázat alapú biztonsági frissítések priorizálása
Függőleges kár, konstát a CID v abd. (This closing line probably a leftover; we can simply end.CISA BOD 26‑04: A kockázat‑alapú biztonsági frissítések priorizálása
CISA BOD 26‑04: Gyakran Felmerülő Kérdések (Tenable)

A CTEM pontosságának javítása: Hogyan alakítja át a Tenable One a folyamatos ellenőrzési ellenőrzést a kockázati expozíció menedzsmentjébe?