CISA estabelece prazo de até três dias para agências federais corrigirem falhas críticas

A CISA não está só apertando prazos: está trocando um modelo de priorização baseado em pontuação abstrata (CVSS) por uma triagem operacional realista, o SSVC. A nova BOD 26-04 exige que agências federais civis classifiquem cada vulnerabilidade com base em quatro fatores concretos: se o ativo está exposto à internet, se a falha já foi explorada no mundo real (KEV), se o ataque pode ser totalmente automatizado e qual o impacto pós-exploração (ex.: execução remota de código vs. controle total do sistema). Só as combinações mais perigosas, como uma vulnerabilidade KEV em um servidor web público, automatizável e que dá root, caem na janela de três dias. O resto segue prazos escalonados: 14, 60 dias ou até o próximo ciclo de atualização planejado.

O grande salto técnico é a exigência explícita de triagem forense antes do patch em casos críticos. Aplicar um update não remove um invasor, e a diretiva reconhece isso como regra, não exceção. Isso muda o fluxo operacional: agora, 'corrigir' significa primeiro investigar, depois remediar, depois validar. É menos sobre velocidade bruta e mais sobre precisão tática, especialmente relevante para equipes de TI que operam com orçamentos apertados e múltiplas camadas de legado.

Para empresas privadas que prestam serviço ao governo ou compartilham dados com agências federais, essa diretiva define o novo padrão mínimo de segurança operacional. Não é só compliance: é antecipação. Se sua arquitetura de nuvem ou seu sistema de gestão de vulnerabilidades ainda depende de CVSS sozinho, você já está fora da curva, e provavelmente fora de futuros contratos. A mudança também pressiona fornecedores de soluções de segurança a integrar SSVC e workflows de detecção pré-patch nativamente, não como feature opcional. E para CIOs brasileiros que gerenciam infraestruturas híbridas com componentes em nuvem pública, a lição é clara: priorizar por risco real, não por nota teórica, reduz custo operacional e aumenta resiliência sem exigir mais pessoal.