CISA upozornila, že mezi nejčastěji zneužívané zranitelnosti stále patří chyby, které měly zmizet už před desítkami let. Problém se týká výrobců softwaru i firem, které jejich produkty používají.
CISA tento stav přičítá organizační kultuře a systémovým nedostatkům při zavádění přístupu Secure by Design. Tento přístup počítá s řešením bezpečnosti už při návrhu produktu, nikoli až prostřednictvím oprav po jeho vydání. Upozornění se proto týká způsobu, jakým dodavatelé software navrhují, testují a udržují.
Z dostupného sdělení není patrné, které konkrétní zranitelnosti CISA hodnotí ani ve kterých produktech se nacházejí. Agentura neuvádí počty zaznamenaných útoků, termíny nápravy ani závazné požadavky pro výrobce a zákazníky. Chybějí také údaje o nákladech na odstranění chyb a způsobu, jakým agentura měří zavádění Secure by Design.
Sdělení CISA popisuje příčinu dlouhodobého problému, ale neobsahuje informace potřebné k výběru konkrétního nástroje nebo dodavatele. Není z něj zřejmé ani to, zda agentura připravuje nové povinnosti, doporučení nebo kontrolní mechanismus. Bez seznamu dotčených produktů nelze určit, kterých firem se upozornění přímo týká.
Malá firma z dostupného sdělení nemůže vyvodit, že má změnit používaný software nebo dodavatele. CISA totiž žádný konkrétní produkt nejmenuje. Firma si však může ověřit, zda její dodavatelé průběžně odstraňují známé chyby a řeší bezpečnost už při vývoji. Pro konkrétní rozhodnutí by potřebovala seznam zranitelností, postižených verzí, termínů oprav a souvisejících nákladů.
Zašifrovaná data a výzva k platbě: první hodiny rozhodují o tom, jestli budete mimo provoz dva dny, nebo dva týdny. Konkrétní postup, co dělat, koho volat, proč hned neplatit a jak obnovit provoz ze záloh.
Útočníci málokdy potřebují neznámou díru, stačí jim, co firma zanedbá. K tomu se za poslední rok zpřísnila pravidla. Co konkrétně zavést, aby se přes vás nedostali a abyste byli v souladu.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
