Edition 07

O número de destaque é 622. A lição está no 7.2 e no 5.3. Essas são as pontuações das duas falhas que os atacantes estão efetivamente a explorar este mês. Os seus treze 9.8 não são os que estão a prejudicá-lo. Se o seu programa de patches ordena por CVSS e trabalha a lista de cima para baixo, está a aplicar correções pela ordem errada, com uma confiança que os dados não sustentam.

Eis o detalhe que deve encerrar a discussão. A Tenable assinalou que as classificações de explorabilidade não têm em conta a rapidez com que a IA cria exploits atualmente: um modelo de fronteira produziu provas de conceito funcionais para 13 das 14 vulnerabilidades que a Microsoft classificara como de exploração improvável ou menos provável. "Improvável" é agora uma afirmação sobre o passado. Não é uma previsão em torno da qual se possa planear um mês.

O que fazer na segunda-feira: pare de tratar o CVSS como fila de prioridades. Use o CISA KEV e o EPSS para identificar o que está genuinamente a ser explorado, depois acrescente o seu próprio contexto: o que está exposto à internet, o que detém privilégios. SLAs por níveis: horas para tudo o que consta do KEV, dias para o resto. E aceite o ponto estrutural: ninguém aplica 622 correções. A priorização é agora o controlo, não a cobertura de patches.

Leia para além da política e concentre-se na frase que importa: avaliadores insuficientes. O programa não colapsou por princípio; colapsou por falta de capacidade. É o tema de toda esta edição. Um programa de certificação é tão real quanto o número de pessoas competentes que o podem executar, e a procura de certificados supera sempre a oferta de pessoas qualificadas para os avaliar. Constato a mesma pressão no universo ISO todos os anos.

Se fornece à base de defesa dos EUA, não interprete mal este sinal. Suspenderam a certificação, não o requisito. A fase um mantém-se. As suas obrigações contratuais e regulatórias de proteger essa informação mantêm-se. Uma auditoria suspensa não é um dever suspenso, e quando a revisão chegar daqui a 60 dias, a dívida acumulada entretanto vence-se de uma só vez.

Repare também na divergência com a Europa. Na semana passada, Bruxelas levou quatro governos a tribunal por não terem implementado o NIS2. Esta semana, Washington suspendeu o seu próprio programa para baixar a barreira para os pequenos fornecedores. O mesmo problema, instinto oposto: um aplica a burocracia, o outro suspende-a. Nenhum resolveu verdadeiramente o que está por baixo: o trabalho ultrapassou as pessoas disponíveis para o fazer.

Há algumas semanas disse-lhe que o acesso à IA de fronteira se tinha tornado uma licença que Washington concede e revoga, e que deveria manter uma opção que não precisasse da autorização de ninguém. Era a minha opinião. Agora leia o próprio plano da Comissão: capacidade soberana de IA de fronteira, para evitar novas dependências estratégicas. Esse argumento já não é uma posição de newsletter. É política da UE, por escrito.

Crédito onde é devido: este é um documento sério que conecta o AI Act, o NIS2, o DORA e o CRA em vez de inventar mais um quadro de referência. Isso importa. Mas seja honesto quanto ao que é um plano. A capacidade de avaliação tem como alvo 2027. Os 622 CVEs no início desta edição chegaram numa terça-feira. O fosso entre o plano e a ameaça mede-se em anos, e o atacante não está à espera do modelo da ENISA.

A data a colocar na sua agenda não é 2027. É 2 de agosto, quando o AI Act começa a ser aplicado aos fornecedores de IA de uso geral. Se constrói sobre esses modelos, as obrigações do seu fornecedor estão prestes a tornar-se o seu problema de evidência. Pergunte-lhes agora o que lhe vão disponibilizar, antes de precisar disso numa auditoria.

Digo-lhe que isto veio de um fornecedor porque deve saber quem está a falar. Fique com a lógica, salte a demonstração. E a lógica sustenta-se: com um novo CVE a cada 7,4 minutos e exploits a surgir em menos de um dia, "estamos atualizados" deixou de ser uma pergunta com resposta. "Esta cadeia pode completar-se aqui" ainda é.

Olhe para o início desta edição e faz sentido. As duas falhas que estão a ser exploradas obtiveram pontuação 7.2 e 5.3. Uma fila por severidade enterra-as. O pensamento por cadeia encontra-as, porque pergunta o que um atacante precisa efetivamente para ter sucesso no seu ambiente, em vez de avaliar o quão assustador parece o número numa folha de cálculo.

A parte desconfortável que ninguém lhe vende: isto só funciona se souber o que os seus controlos bloqueiam, e a maioria das organizações não sabe. Se não consegue responder a "o despejo de credenciais via shadow copy seria detetado aqui" com evidência em vez de uma ficha técnica de fornecedor, nenhuma análise de cadeia o salva. Comece pelo inventário honesto, não pela plataforma.

Sem números de cartão, as pessoas vão encolher os ombros. Não o faça. Nome, data de nascimento, telefone, e-mail e número de cliente é um kit de phishing pronto a usar, direcionado a alguém que já compra ali, e o próprio Lidl o disse quando aconselhou os clientes a estarem atentos a phishing e a fraude de identidade. Os relatórios de tomada de controlo de contas nos Países Baixos quase triplicaram num ano. É para isso que estes dados servem.

Agora a parte que lhe diz respeito. O Lidl não foi violado. O fornecedor do Lidl foi. E, no entanto, as notificações, o regulador, os e-mails aos clientes e as manchetes são todos do Lidl. Pode externalizar o tratamento. Não pode externalizar a responsabilidade. Ao abrigo do GDPR, é o responsável pelo tratamento, esse fornecedor é o seu subcontratante e o Artigo 28 não é uma formalidade que assinou uma vez em 2019.

Pergunte isto na segunda-feira, em voz alta: quais dos nossos fornecedores detém um ficheiro de dados de clientes armazenado separadamente? Quem o aprovou? Quando foi verificado pela última vez? E saberíamos de um incidente através deles, ou pela imprensa? O Lidl não identificou o seu fornecedor. A questão interessante é se o seu o identificaria a si.