CISA BOD 26-04 revoluciona priorização de vulnerabilidades: o papel do Datadog

A diretriz BOD 26-04 da CISA marca uma virada importante na gestão de vulnerabilidades, afastando-se da antiga dependência do Common Vulnerability Scoring System (CVSS). Agora, o foco está na priorização baseada em risco real. Quatro variáveis são decisivas: a exposição do ativo, se a falha está no Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA, a automação do exploit e o impacto técnico. Essa abordagem exige das equipes de segurança e engenharia uma compreensão mais profunda do ambiente operacional e do impacto nos negócios.

Neste cenário, ferramentas como o Runtime Prioritization Engine do Datadog se tornam cruciais. Ele combina telemetria de observabilidade e segurança para avaliar vulnerabilidades sob cinco perspectivas: alcançabilidade (o componente vulnerável está ativo em produção?), exposição (é acessível por atacantes?), explorabilidade (há evidências de que será explorada?), criticidade de negócios (afeta um serviço crítico?) e ação (há proprietário e correção disponível?). Isso permite que as equipes priorizem as poucas vulnerabilidades que representam risco real e que de fato precisam de correção imediata, alinhando segurança com objetivos de negócio. Conforme reportado pelo CEVIU News em 27 de maio de 2026, a CISA já aprimorava seu Catálogo KEV, evidenciando essa busca por contexto e inteligência.

A CISA, através da diretriz BOD 26-04, formalizou a priorização de vulnerabilidades baseada em risco, substituindo o BOD 19-02 e a ênfase no CVSS. Enquanto o CEVIU News noticiou em 11 de junho de 2026 sobre a reformulação dos requisitos federais de aplicação de patches para a era das ameaças por IA, e em 15 de junho de 2026 sobre o prazo de até três dias para correção de falhas críticas, a notícia atual mostra a materialização de soluções para essa nova realidade. O Datadog, que em 15 de junho de 2026 anunciou no DASH 2026 novas capacidades com IA para segurança e remediação automatizada, agora demonstra com o Runtime Prioritization Engine uma ferramenta específica que atende de forma prática e contextualizada os requisitos da BOD 26-04, convertendo os anúncios de capacidades em entregas.

O que a BOD 26-04 faz pelas agências federais serve de modelo para todas as organizações. Com a aceleração dos ataques, impulsionada por IA, as vulnerabilidades podem ser exploradas em horas. Priorizar apenas pela severidade estática do CVSS não é mais suficiente. É preciso ir além, entendendo o contexto de runtime, a exposição real e o impacto no negócio. Adotar uma postura de priorização baseada em risco, como a da CISA, e usar ferramentas que fornecem esse contexto, como o Datadog, significa focar os esforços de engenharia e segurança onde eles realmente importam, otimizando recursos e reduzindo a superfície de ataque de forma proativa.