A agência norte‑americana CISA emitiu uma diretriz operacional ordenando que agências federais retirem, em até um ano, dispositivos e software que não sejam mais suportados pelos fabricantes. A medida busca reduzir a presença de ativos vulneráveis no perímetro governamental.
A ordem e seu alcance
De acordo com reportagem do The Record, a CISA determinou que agências federais "remove any hardware and software devices that is no longer supported by its original equipment manufacturer." A diretriz operacional estabelece um prazo de um ano para que os órgãos atendam à exigência.
Motivação e contexto
Equipamentos e softwares sem suporte ficam sem atualizações de segurança e correções, aumentando a superfície de ataque e a janela de exposição a vulnerabilidades conhecidas. A ação da CISA é uma medida proativa de higienização de ativos críticos do governo e segue tendência de endurecimento de práticas de cyber‑higiene em setores públicos.
Impacto operacional e desafios
- Inventário e priorização: identificar todos os ativos EoL exige inventário preciso, muitas vezes ausente ou desatualizado em grandes agências.
- Substituição e custos: a remoção pode demandar renovação de contratos, aquisição de novos equipamentos e janelas de manutenção, com impacto orçamentário e logístico.
- Legacy crítico: sistemas legados em áreas sensíveis (por exemplo, OT, controle industrial, ou aplicações governamentais legadas) podem ser difíceis de atualizar sem interrupção de serviços.
O que a diretriz não detalha (e informações faltantes)
A reportagem informa o mandado e o prazo, mas não elenca prioridades por criticidade, exceções para sistemas operacionais ou dispositivos críticos, nem o suporte financeiro para substituição. Também não há, no texto consultado, cronograma por etapas nem métricas de conformidade que as agências deverão reportar.
Implicações para organizações e fornecedores
Para fornecedores de TI e segurança, a diretriz pode gerar demanda por soluções de inventário, migração e serviços gerenciados para renegociação ou substituição de ativos. Para equipes de segurança, a medida reforça a importância de manter um CMDB atualizado e fluxos decisórios que permitam descomissionar ativos inseguros sem comprometer a continuidade de serviços essenciais.
Recomendações práticas
- Auditar urgentemente inventário de hardware e software para identificar ativos EoL.
- Priorizar substituição/mitigação de ativos expostos em perímetros públicos e sistemas críticos.
- Mapear dependências de sistemas legados antes de qualquer descomissionamento para evitar interrupções operacionais.
- Engajar fornecedores para obter cronogramas de suporte ou planos de migração.
Fonte: The Record (reportagem sobre diretriz operacional da CISA)