Agencja ds. Cyberbezpieczeństwa i Infrastruktury Stanów Zjednoczonych (CISA) ogłosiła w czwartek wycofanie dziesięciu dyrektyw awaryjnych (Emergency Directives, EDs), które zostały wydane w latach 2019–2024. Decyzja ta zamyka etap szybkich, krótkoterminowych działań mających na celu natychmiastowe ograniczenie ryzyka dla federalnych agencji wykonawczych administracji cywilnej (FCEB).
Dyrektywy awaryjne są narzędziem wykorzystywanym do wprowadzenia pilnych środków zabezpieczających, gdy pojawiają się nowe lub nagle nasilonie zagrożenia. CISA podkreśla, że te konkretne dyrektywy zostały wydane z zamiarem ochrony agencji FCEB przed potencjalnymi ryzykami; agencja współpracowała ściśle z poszczególnymi instytucjami federalnymi, aby usunąć luki, wdrożyć dobre praktyki i wzmocnić odporność cyfrowej infrastruktury.
W komunikacie CISA zaznaczono, że niektóre z wymaganych działań zostały już pomyślnie zrealizowane, a inne są teraz egzekwowane w ramach wiążącej dyrektywy operacyjnej BOD 22‑01 (Binding Operational Directive 22‑01), dotyczącej redukcji znaczącego ryzyka związanego z podatnościami, które są już aktywnie wykorzystywane przez napastników. Przeniesienie egzekwowania z pojedynczych, awaryjnych dyrektyw do szerszego, wiążącego mechanizmu pokazuje przejście od reakcji kryzysowej do długofalowego zarządzania ryzykiem.
„Jako operacyjny lider ds. cyberbezpieczeństwa federalnego, CISA wykorzystuje swoje uprawnienia do wzmacniania systemów federalnych i obrony przed niedopuszczalnymi ryzykami, zwłaszcza tymi związanymi z wrogimi aktorami państwowymi” — powiedziała pełniąca obowiązki dyrektora CISA, Madhu Gottumukkala. „Zakończenie tych dziesięciu Emergency Directives odzwierciedla zaangażowanie CISA we współpracę operacyjną w całym federalnym ekosystemie.”
W dalszej części swojej wypowiedzi Gottumukkala podkreśliła codzienną współpracę zespołów CISA z partnerami: „Każdego dnia wyjątkowy zespół CISA pracuje wspólnie z partnerami, aby eliminować trwały dostęp nieautoryzowanych podmiotów, przeciwdziałać pojawiającym się zagrożeniom i dostarczać wskazówek dotyczących łagodzenia skutków w czasie rzeczywistym. Patrząc w przyszłość, CISA nadal będzie rozwijać zasady 'Secure by Design’ — priorytetując przejrzystość, konfigurowalność i interoperacyjność — tak, aby każda organizacja mogła lepiej bronić swoich zróżnicowanych środowisk.”
W praktyce zamknięcie tych dyrektyw oznacza, że pilne środki zostały albo wdrożone, albo ich realizacja jest teraz utrzymywana przez bardziej stałe ramy regulacyjne. Dla federalnych agencji i ich zespołów bezpieczeństwa to sygnał, że krytyczne poprawki i procedury zostały usystematyzowane, a dalsze działania będą realizowane w ramach długoterminowych polityk ochrony przed znanymi, aktywnie wykorzystywanymi podatnościami.
