CISA impõe prazo de 3 dias para patches críticos devido a riscos de IA

O novo cenário: patch em 72 horas

A Cybersecurity and Infrastructure Security Agency (CISA) dos Estados Unidos acaba de subir o tom sobre a gestão de vulnerabilidades. Com o avanço de modelos de inteligência artificial que facilitam a descoberta e a exploração automatizada de falhas, a agência publicou uma binding operational directive (BOD) que coloca o prazo de remediação em um novo patamar: três dias para casos críticos.

Para quem opera em times de tecnologia e infraestrutura, a mensagem é clara: o tempo de resposta manual não acompanha mais a velocidade da exploração automatizada. Como apontou Chris Butera, diretor executivo assistente da CISA, os defensores não podem mais se dar ao luxo de levar semanas para aplicar patches em sistemas que podem ser comprometidos em massa por agentes maliciosos munidos de IA.

O que define a urgência

A nova diretriz não trata todas as falhas da mesma forma. A CISA estabeleceu uma rubrica de avaliação para priorizar o que deve ser corrigido imediatamente. Os critérios incluem:

• Se o sistema está exposto publicamente.
• Se a vulnerabilidade consta no catálogo de Known Exploited Vulnerabilities da CISA.
• Se o ataque pode ser totalmente automatizado.
• O nível de acesso que o invasor ganha após o exploit.

Sistemas que atendem a todos esses pontos devem receber o patch em até 72 horas. Além da correção, a agência exige um processo de forensic triage para verificar se o ambiente já não foi comprometido.

Do modelo antigo para a realidade de IA

Historicamente, a CISA trabalhava com prazos de 15 a 30 dias para vulnerabilidades de alta urgência. Esse modelo, embora funcional na era pré-IA, tornou-se obsoleto. Dados da própria agência de 2021 já mostravam que 42% das vulnerabilidades conhecidas eram exploradas no dia zero da divulgação, e 50% em até dois dias.

Se você lida com gestão de ativos, vale revisitar como sua equipe lida com o Patch Tuesday e outras janelas de atualização. A automação em DevSecOps deixou de ser um diferencial para se tornar um requisito de sobrevivência.

Além do patch: a arquitetura como defesa

Apesar da urgência, especialistas alertam que o patch é apenas uma camada. A CEO da Edera, Emily Long, reforça que, se a arquitetura do sistema não limita o raio de alcance após uma brecha, a empresa continuará correndo atrás do prejuízo. O foco deve migrar para o conceito de containment by design.

Para times que ainda gerenciam essas demandas de infraestrutura, segurança e conformidade através de planilhas isoladas, plataformas como a Orqueza oferecem a centralização necessária para monitorar o ciclo de vida de projetos e ativos, facilitando a visibilidade sobre o que precisa de atenção imediata. A segurança digital exige, mais do que nunca, que a operação esteja alinhada e transparente.

Fonte: wired.com