Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) wprowadziła nową, rygorystyczną dyrektywę operacyjną, która wymusza na federalnych agencjach cywilnych znacznie szybsze reagowanie na luki w oprogramowaniu. Decyzja ta jest bezpośrednią odpowiedzią na rozwój sztucznej inteligencji, która radykalnie przyspieszyła proces wykrywania błędów przez hakerów oraz zwiększyła ich zdolność do automatyzacji ataków na masową skalę.
Nowe standardy czasu reakcji
Dotychczasowe wytyczne, pochodzące z 2019 i 2021 roku, przewidywały czas na załatanie krytycznych luk w ciągu 15 lub 30 dni. Nowe przepisy wprowadzają znacznie bardziej agresywny harmonogram, dostosowany do współczesnych zagrożeń. W najbardziej krytycznych przypadkach agencje będą miały zaledwie trzy dni na usunięcie zagrożenia. Nicholas Andersen, pełniący obowiązki dyrektora CISA, podkreśla, że w dobie autonomicznych ataków wspieranych przez AI, tradycyjne podejście oparte na wielotygodniowych cyklach aktualizacji jest już niewystarczające.
Chris Butera, zastępca dyrektora wykonawczego ds. cyberbezpieczeństwa w CISA, wyjaśnia, że celem nowej dyrektywy jest pomoc agencjom w lepszym priorytetyzowaniu działań. Zamiast traktować wszystkie błędy jednakowo, zespoły IT mają skupić się na zasobach najbardziej narażonych na atak.
Defenders cannot afford to take weeks to patch systems that can be autonomously exploited en masse.
Kryteria oceny pilności
Aby określić, czy dana luka wymaga interwencji w ciągu trzech dni, agencje muszą przeprowadzić ocenę w oparciu o cztery kluczowe czynniki:
Jeśli wszystkie powyższe punkty zostaną spełnione, agencja jest zobowiązana nie tylko do załatania systemu w ciągu 72 godzin, ale również do przeprowadzenia tzw. triażu kryminalistycznego, aby ustalić, czy system nie został już wcześniej przejęty przez osoby niepowołane.
Wyzwania wykraczające poza łatanie błędów
Choć nowe wytyczne stanowią istotny krok w stronę poprawy bezpieczeństwa, eksperci wskazują, że samo łatanie oprogramowania to jedynie doraźne rozwiązanie. Emily Long, dyrektor generalna firmy Edera zajmującej się bezpieczeństwem w chmurze, zauważa, że bez zmiany podejścia do architektury systemów, organizacje będą jedynie szybciej biegać po tej samej bieżni.
Współczesne podejście do cyberbezpieczeństwa coraz częściej kładzie nacisk na tzw. konteneryzację przez projektowanie (containment by design), czyli tworzenie systemów, które ograniczają możliwości poruszania się atakującego nawet po udanym włamaniu. Przedstawiciele CISA przyznają, że obecna dyrektywa jest jedynie początkiem adaptacji do realiów ery sztucznej inteligencji i że w przyszłości konieczne będą dalsze, bardziej systemowe zmiany w sposobie budowania infrastruktury cyfrowej.
Warto przypomnieć, że już w 2021 roku CISA ostrzegała przed szybkością działania cyberprzestępców. Dane wskazywały wówczas, że 50% znanych luk było wykorzystywanych w ciągu zaledwie dwóch dni od ich ujawnienia, a 75% w ciągu miesiąca. W obliczu narzędzi AI, które potrafią skanować i eksploatować systemy w czasie rzeczywistym, presja na administratorów IT będzie w najbliższych latach tylko rosnąć.
