CISA: certyfikacja oprogramowania wyborczego w USA utrudnia szybkie łatanie luk

CISA opublikowała plan bezpieczeństwa infrastruktury wyborczej na 2026 rok. Według agencji zasady certyfikacji oprogramowania wyborczego ograniczają dostawcom wydawanie poprawek, a właścicielom systemów ich szybkie wdrażanie. Agencja wymienia trzy problemy: zarządzanie podatnościami hamowane przez przestarzałe reguły certyfikacji, niespójne informowanie przez dostawców o lukach i stanie poprawek oraz niską dojrzałość sieci, w których działają systemy wyborcze.

Kogo dotyczy

Stanowe i lokalne biura wyborcze w USA, w tym ponad 10 tys. lokalnych jurysdykcji, oraz dostawców oprogramowania wyborczego. Z ocen CISA wynika, że biura te często mają kłopot z podstawową higieną IT, a atakujący po przejęciu poczty lub stacji roboczej może przemieszczać się dalej w sieci.

Co zrobić

CISA zaleca dopasowanie zarządzania poprawkami do wymogów certyfikacji, tak by aktualizacje dało się wdrażać na bieżąco bez utraty certyfikatu. Od dostawców urzędnicy mają oczekiwać nadawania lukom identyfikatorów CVE, szybkiej informacji o wycieku lub kradzieży kodu źródłowego, zgłaszania incydentów i dołączania SBOM do każdego produktu.