CISA、政府機関に対し、悪用されている重大な脆弱性を3日以内に修正するよう指示

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、連邦文民行政機関（FCEB）向けのセキュリティ更新を優先する新たな「拘束力のある運用指令（BOD）26-04」を発表した。

この指令は、各機関に対し、高リスクの脆弱性を短縮された期間（場合によってはわずか3日間）で是正することを義務付けることで、公共部門を標的としたサイバー攻撃の脅威を軽減することを目的としている。

CISAによると、BOD 26-04は、それぞれ2019年および2021年に導入された旧指針であるBOD 19-02およびBOD 22-01を「置き換え、廃止する」ものである。

同局は、パッチ適用を優先する根拠として、以下の4つの主要な考慮事項を挙げている。

1. 当該資産がオンライン上で公開されているか
2. 当該脆弱性がCISAの「既知の悪用済み脆弱性（KEV）」カタログに掲載されているか
3. 大規模な攻撃のために悪用が自動化可能かどうか
4. 悪用により攻撃者がシステムを部分的または完全に制御できるか

これらの要因に基づき、各機関にはセキュリティ脆弱性への対応期限が設定され、最短で3日間となっている。

自動化された悪用が不可能な場合や、悪用によって部分的な制御しか得られないような緊急性の低い状況では、対応期限は2週間に設定されます。

適用範囲と実施

この指令は、特に米国連邦文民行政機関（FCEB）および同機関が運用する情報システムに適用されます。

これには政府機関や省庁が含まれますが、米国国防総省が運用する特定の軍事システム、民間企業、情報コミュニティのシステム、および請負業者は対象外となります。

これまでの指令と同様、この枠組みはサイバーセキュリティ業界全体に影響を与え、パッチ適用に関する優先順位を示す幅広い指針となることが期待されています。

この指令は、すべてのオンプレミス連邦システム、サードパーティがホストするシステム、および FedRAMP/非 FedRAMP クラウド環境に適用されます。

現時点では、BOD 26-04 指令の対象となる機関は、それに応じて脆弱性管理ポリシーを更新し、資産インベントリを更新し、KEV ステータスの報告を自動化する必要があります。

脆弱性管理プロセスは、修正措置の決定の根拠として CVE および KEV データを使用できるよう、60 日以内に更新する必要があります。

180日以内に、すべての機関は新しい是正措置のタイムラインに従い、詳細な資産メタデータを継続的に監視・報告することが義務付けられます。