美国土安全部将官方机构修补重大漏洞的期限从30天缩短成15天

美国国土安全部（DHS）在4月29日颁布了强制命令Binding Operational Directive 19-02（BOD 19-02），要求各美国联邦机构必须在发现重大（Critical）风险漏洞的15天内修补该漏洞，而高度（High）风险漏洞的修补期限则是30天。

BOD 19-02是用来取代DHS在2015年所颁布的BOD 15-01，前者命令名称为《网络存取系统的漏洞整治要求》（Vulnerability Remediation Requirements for Internet-Accessible Systems），后者则是《网络存取系统的重大漏洞缓解要求》（Critical Vulnerability Mitigation Requirement for Federal Civilian Executive Branch Departments and Agencies’ Internet-Accessible Systems），当初的BOD 15-01规定美国联邦机构必须在30天内缓解重大风险漏洞，而且对高度风险漏洞并无要求。

不管是哪项命令，都是由国土安全部旗下的网络安全及基础设施安全局（Cybersecurity and Infrastructure Security Agency，CISA）负责监督。

DHS表示，随着联邦机构扩大网络存取系统的部署，这些系统愈来愈复杂，系统之间也有更多的互动；再加上各项研究都显示，漏洞从揭露到遭受攻击的时间间距愈来愈短，也让尽速修补漏洞更显重要。

于是，BOD 19-02将重大风险漏洞的修补期限从30天缩短为15天，也将以往未加以规范的高度风险漏洞纳入管理，修补期限为30天，亦将期限的计算从举报日改为侦测到漏洞的当天。

CISA原本就会定期针对网络配置与已知漏洞进行扫描，称为“网络卫生”（Cyber Hygiene）行动，并会发表周报以供所有联邦机构参考。而从今年3月起，Cyber Hygiene周报已不只列入重大风险漏洞，而是列举所有从低到重大风险等级的安全漏洞。

倘若联邦机构无法在限期内完成修补，就必须在3天内提出修补限制、暂时补救措施及预计完成修补的时间。