BOD 26-04 è una CISA Binding Operational Directive che indica alle organizzazioni civili federali di dare priorità agli aggiornamenti di sicurezza in base al rischio, non solo al punteggio di gravità. Sposta la gestione delle vulnerabilità verso fattori come lo sfruttamento noto, l'esposizione a Internet e il probabile impatto operativo.
Questo è importante perché gli aggressori raramente sfruttano tutte le vulnerabilità allo stesso modo. Di solito prendono di mira le falle che sono raggiungibili, ampiamente distribuite o già utilizzate nel mondo reale. In questo modello, i difensori devono mantenere inventari accurati degli asset, sapere quali sistemi sono esposti e instradare le patch più urgenti prima degli elementi a basso rischio. In pratica, BOD 26-04 supporta una triage più rapida, una migliore disciplina delle patch e decisioni di rimedio più basate su evidenze.