BOD 26-04: כשדירוג CVSS כבר לא מספיק כדי להחליט מה לתקן קודם
ניהול חולשות בארגונים הפך בשנים האחרונות למשימה מורכבת במיוחד. מערכות סריקה מסוגלות לייצר אלפי ממצאים, ספקי תוכנה מפרסמים עדכוני אבטחה בקצב גבוה, וצוותי IT ו-Security צריכים להחליט שוב ושוב איזו חולשה לטפל בה קודם.
ב־10 ביוני 2026 פרסמה CISA את Binding Operational Directive 26-04 – Prioritizing Security Updates Based on Risk. ההנחיה מחייבת את הגופים הפדרליים האזרחיים שעליהם חלות סמכויות ה-BOD, ומטרתה לשפר את האופן שבו הם מתעדפים טיפול בחולשות ועדכוני אבטחה בהתאם לסיכון.
מהו BOD?
Binding Operational Directive, או BOD, הוא מנגנון שבאמצעותו CISA מפרסמת הנחיות מחייבות למחלקות ולסוכנויות פדרליות רלוונטיות במטרה להגן על מערכות ומידע פדרליים. ההנחיות אינן הופכות אוטומטית לחובה עבור חברות פרטיות או ארגונים בישראל, אך הן מהוות נקודת ייחוס מקצועית חשובה עבור מנהלי אבטחת מידע וניהול סיכונים.
ומה היה לפני BOD 26-04?
אחת ההנחיות המרכזיות שקדמו לה הייתה BOD 22-01 – Reducing the Significant Risk of Known Exploited Vulnerabilities. ההנחיה חיזקה את השימוש בקטלוג Known Exploited Vulnerabilities – KEV – וחייבה את הסוכנויות הרלוונטיות לטפל בחולשות שמופיעות בו בהתאם ללוחות זמנים מוגדרים. עם פרסום BOD 26-04 ב-10 ביוני 2026, CISA סימנה את BOD 22-01 כ-revoked והטמיעה את עקרונות הטיפול בחולשות מנוצלות בתוך מסגרת תיעדוף רחבה יותר.
השינוי אינו מבטל את חשיבות ה-KEV – להפך. CISA מדגישה כי הקטלוג ממשיך להיות מרכיב מרכזי בתיעדוף, אך התמונה החדשה כוללת הקשר רחב יותר של סיכון ולא רק עצם הופעת החולשה ברשימה.
מעבר מחומרה טכנית לסיכון בפועל
במשך שנים היה CVSS אחד הכלים המרכזיים לתיעדוף חולשות. הציון מספק מידע חשוב על חומרתה הטכנית של חולשה, אבל לבדו הוא אינו יודע לענות על השאלה המרכזית של ה-CISO: מה מסכן יותר את הארגון שלי כרגע?
BOD 26-04 מייצגת מעבר לגישה רחבה יותר. CISA מגדירה מסגרת שבה תיעדוף עדכוני אבטחה מביא בחשבון שילוב של גורמי סיכון, ומאפשר טיפול מהיר יותר בחולשות בעלות סיכון גבוה לצד גמישות רבה יותר בטיפול בסיכונים נמוכים יותר. לצורך היישום פורסמה גם הנחיית Implementation Guidance ייעודית.
מבחינה ארגונית, המשמעות היא לחבר בין מידע על חולשה לבין ההקשר שבו היא קיימת: הנכס שעליו היא נמצאת, מידת החשיפה שלו, חשיבותו לפעילות העסקית, מידע על ניצול בפועל וההשפעה האפשרית במקרה של פגיעה.
הקשר ל-CISA: לא עוד מאגר חולשות בלבד
BOD 26-04 גם ממחישה את התפקיד הרחב יותר של CISA – Cybersecurity and Infrastructure Security Agency. הסוכנות אינה רק גוף שמפרסם התרעות על CVEs; היא מפתחת Directives, הנחיות ו-Best Practices שמחברות בין מודיעין על איומים לבין ניהול סיכון ותפעול מערכות.
עבור ארגונים מחוץ לממשל האמריקאי, ובכלל זה ארגונים בישראל, מסמכי CISA יכולים לשמש Benchmark מקצועי לקבלת החלטות. ה-KEV Catalog, הנחיות הקשחה ומסגרות התיעדוף שלה מספקים שכבת הקשר נוספת מעל תוצאות כלי הסריקה.
מה ארגונים בישראל יכולים ללמוד מזה?
BOD 26-04 אינה רגולציה ישראלית ואינה מטילה חובה ישירה על חברה בישראל. עם זאת, העיקרון שעומד מאחוריה רלוונטי במיוחד לארגונים שמתמודדים עם עומס קבוע של חולשות, Patch Management והתראות אבטחה.
עבור CIO ו-CISO כדאי לשאול האם תהליך ניהול החולשות באמת מבוסס סיכון. רשימת CVEs הממוינת רק לפי CVSS יכולה להיות נקודת התחלה, אך תהליך בשל יותר צריך לשלב Asset Inventory, חשיפה, קריטיות עסקית, Threat Intelligence ומידע על ניצול פעיל.
קטלוג ה-KEV של CISA הוא מקור נוסף שניתן לשלב בתהליך הזה, משום שהוא מתמקד בחולשות שלגביהן קיימת עדות לניצול מוכר.
האם תהליך ניהול החולשות בארגון שלכם מתעדף את מה שמסוכן באמת, או בעיקר את מה שקיבל את ציון ה-CVSS הגבוה ביותר? זה הזמן לבחון מחדש את מודל התיעדוף, מיפוי הנכסים ותהליכי הבקרה.
דברו איתנו>
לא עוד "כמה חולשות סגרנו"
המשמעות הרחבה של BOD 26-04 היא מעבר ממדידה כמותית למדידה מבוססת סיכון.
מספר החולשות שנסגרו ברבעון הוא נתון תפעולי, אבל הוא אינו בהכרח מעיד על ירידה משמעותית בחשיפה של הארגון. אפשר לטפל במאות חולשות בעלות חשיבות נמוכה ובמקביל להשאיר חולשה אחת מנוצלת על מערכת קריטית.
לכן השאלות המעניינות יותר הן: האם צומצמה החשיפה של הנכסים הקריטיים? האם חולשות בסיכון גבוה מטופלות במהירות המתאימה? האם הארגון יודע לחבר בין נכס, חולשה, חשיפה, איום ובעלים עסקיים?
זהו שינוי שמשפיע לא רק על צוות Vulnerability Management, אלא גם על SOC, מנהלי תשתיות, מנהלי סיכונים והנהלות.
BOD 26-04 מנסחת בצורה ברורה עיקרון שכל ארגון יכול לאמץ: המטרה אינה לתקן את המספר הגדול ביותר של חולשות – אלא לצמצם קודם את הסיכון המשמעותי ביותר.
רוצים לבדוק האם תהליך ניהול הסיכונים והחולשות בארגון תואם גישה מבוססת סיכון? מומחי אינפוגרד מסייעים לארגונים לבצע סקרי סיכונים, סקירות מערכות ולבנות תהליכי Governance והקשחה מותאמים לסביבה הארגונית.
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).
