CISA поменяла правила: уязвимости теперь не по датам, а по риску

Читал, что CISA заменила календарные сроки устранения уязвимостей на риск-ориентированный подход — и это не про чужие системы, а про то, как мы вообще думаем о безопасности. Всё, что раньше было «сделать за 30 дней», теперь зависит от того, кто может добраться до уязвимости, как легко её использовать и что будет, если это случится.

Суть в том, что старый подход — поставить дедлайн на каждую уязвимость — сломался. NVD теперь не успевает оценивать все CVE, особенно старые. Некоторые записи попадают в статус «не планируется обогащать», а CVSS от NIST может вообще отсутствовать. А сам CVSS — это не риск, а оценка тяжести уязвимости. Даже если у неё высокий балл, это не значит, что её уже используют в атаках. Или что она опасна именно для вашей системы.

Я считаю, что это меняет всё. Раньше можно было жить по шаблону: «все критические — за 7 дней». Теперь такой шаблон ведёт к ложным срабатываниям и пропускам. Настоящий риск — не в цифре, а в доступе, автоматизации атаки и последствиях. Если уязвимость в публичном API, её легко эксплуатировать, и даже если CVSS низкий — это срочно. А если в системе, которую никто не видит — можно подождать.

Сейчас у себя в плане на неделю поставил проверку всех активов, где есть публичный доступ. У клиентов, где есть внешние интерфейсы, начинаю с анализа: кто может добраться, есть ли признаки эксплуатации, можно ли автоматизировать. Если да — это уже не «после релиза», а «до следующего сканирования». Уже начал обновлять то, что критично и доступно. А то, что в закрытой сети и без эксплойтов — откладываю до плановой проверки.