Opmerking van de redactie: ComplexDiscovery belicht van tijd tot tijd openbaar beschikbare of particuliere aankondigingen, inhoudsupdates en onderzoek van aanbieders van cyber, data en juridische ontdekking, onderzoeksorganisaties en leden van de ComplexDiscovery community. Hoewel ComplexDiscovery deze informatie regelmatig belicht, neemt het geen enkele verantwoordelijkheid voor inhoudelijke beweringen.
Neem vandaag nog contact met ons op om aanbevelingen in te dienen voor overweging en opname in de cyber-, data- en juridische ontdekkingsgerichte service-, product- of onderzoeksaankondigingen van ComplexDiscovery.
Pers aankondiging*
CISA publiceert richtlijn over het verminderen van het aanzienlijke risico op bekende misbruikte kwetsbaarheden
Stelt prioriteiten vast voor het beheer van kwetsbaarheden en biedt federale agentschappen een impuls om de praktijken van kwetsbaarheidsbeheer te verbeteren
Vandaag [3 november 2021] heeft de Cybersecurity and Infrastructure Security Agency (CISA) Bindende Operationele Richtlijn (BOD) 22-01 uitgegeven, waarmee het aanzienlijke risico op bekende misbruikte kwetsbaarheden wordt verminderd, om dringende en prioritaire sanering van kwetsbaarheden die actief worden uitgebuit door tegenstanders te stimuleren. De richtlijn stelt een door het CISA beheerde catalogus van bekende kwetsbaarheden op en vereist dat federale civiele instanties dergelijke kwetsbaarheden binnen specifieke termijnen verhelpen.
CISA gaf BOD 22-01 uit om federale agentschappen ertoe aan te zetten actief uitgebuit kwetsbaarheden op hun netwerken te verminderen, een duidelijk bericht te sturen naar alle organisaties in het hele land om patching te concentreren op de subset van kwetsbaarheden die nu schade veroorzaken, en CISA in staat te stellen continue prioritering van kwetsbaarheden gebaseerd op ons begrip van tegenstanders. De richtlijn is van toepassing op alle software en hardware die wordt aangetroffen op federale informatiesystemen, met inbegrip van die welke worden beheerd op kantoorgebouwen of gehost door derden namens een agentschap. Met deze richtlijn legt CISA de eerste overheidsbrede eisen op om kwetsbaarheden te verhelpen die zowel internetgerichte als niet-internetgerichte activa treffen.
„Elke dag gebruiken onze tegenstanders bekende kwetsbaarheden om zich te richten op federale agentschappen. Als operationele leiding voor federale cyberbeveiliging gebruiken we onze richtlijnautoriteit om cyberbeveiligingsinspanningen te stimuleren om die specifieke kwetsbaarheden te verminderen waarvan we weten dat ze actief worden gebruikt door kwaadwillende cyberactoren”, aldus CISA-directeur Jen Easterly. „De richtlijn bevat duidelijke vereisten voor federale civiele agentschappen om onmiddellijk actie te ondernemen om hun praktijken op het gebied van kwetsbaarheidsbeheer te verbeteren en hun blootstelling aan cyberaanvallen drastisch te verminderen. Hoewel deze richtlijn van toepassing is op federale civiele agentschappen, weten we dat organisaties in het hele land, waaronder kritieke infrastructuurentiteiten, het doelwit zijn van dezelfde kwetsbaarheden. Het is daarom van cruciaal belang dat elke organisatie deze richtlijn goedkeurt en prioriteit geeft aan het beperken van kwetsbaarheden die zijn opgenomen in de openbare catalogus van CISA.”
Met meer dan 18.000 kwetsbaarheden die alleen al in 2020 zijn geïdentificeerd, vinden organisaties in de publieke en private sector het een uitdaging om prioriteit te geven aan beperkte middelen voor het verhelpen van de kwetsbaarheden die het meest waarschijnlijk tot een schadelijke inbraak zullen leiden. Deze richtlijn pakt deze uitdaging aan door de beperking van de kwetsbaarheden die actief worden misbruikt om federale agentschappen en Amerikaanse bedrijven in gevaar te brengen, voortbouwend op bestaande methoden die veel worden gebruikt om kwetsbaarheden tegenwoordig door veel organisaties te prioriteren.
Deze richtlijn is van toepassing op federale civiele instanties, maar CISA beveelt ten zeerste aan dat particuliere bedrijven en staats-, lokale, stam- en territoriale overheden (SLTT) prioriteit geven aan het beperken van kwetsbaarheden die in de openbare catalogus van CISA worden vermeld, en zich aan te melden om meldingen te ontvangen wanneer nieuwe kwetsbaarheden worden toegevoegd. .
De nieuwe richtlijn en een bijbehorende factsheet zijn te vinden op Bindende operationele richtlijn (BOD) 22-01.
Over CISA
Het Cybersecurity and Infrastructure Security Agency (CISA) is de risicoadviseur van het land en werkt samen met partners om zich te verdedigen tegen de bedreigingen van vandaag en werkt samen om een veiligere en veerkrachtigere infrastructuur voor de toekomst te bouwen.
Lees de originele aankondiging.
Volledige factsheet: Vermindering van het aanzienlijke risico op bekende misbruikte kwetsbaarheden (PDF) - Muisover om te scrollen
Vermindering van het aanzienlijke risico op bekende misbruikte kwetsbaarheden 211103
*Geeld met toestemming.
Aanvullend lezen
Een economische impact? Hoe cyberverzekeringen de respons van incidenten vormen
Cyber Discovery definiëren? Een definitie en raamwerk
Bron: ComplexDiscovery
