Weißes Haus gibt Cybersecurity-Leitfaden für Softwareanbieter heraus

Veröffentlicht am: 16. September 2022

Das Weiße Haus hat am Mittwoch Leitlinien zur Cybersicherheit für Softwareanbieter veröffentlicht, die als Erweiterung einer von Präsident Joe Biden im Jahr 2021 unterzeichneten Durchführungsverordnung dienten.

Biden unterzeichnete im Mai 2021 „Improving the Nation’s Cybersecurity“, in dem Pläne zur Modernisierung des Cybersicherheitsansatzes der Vereinigten Staaten und zur Implementierung von Techniken wie der Multifaktor-Authentifizierung skizziert wurden. Ein Teil der oberster Befehl verwies auf Pläne zur Bereitstellung von Richtlinien für die Software, die in Regierungsnetzwerken gekauft und eingesetzt wurde, die am Mittwoch enthalten war Memorandum.

In einem Weißen Haus Aussage Chris DeRusha, Federal CISO und stellvertretender nationaler Cyber-Direktor, sagte ebenfalls am Mittwoch, dass früher das einzige Qualitätskriterium für eine Software darin bestand, ob sie wie angekündigt funktionierte. Die Technologie muss heute so entwickelt werden, dass sie widerstandsfähig und sicher ist .

„Der Leitfaden, der mit Beiträgen des öffentlichen und privaten Sektors sowie der Wissenschaft entwickelt wurde, weist Behörden an, nur Software zu verwenden, die den Standards für sichere Softwareentwicklung entspricht, erstellt ein Selbstbescheinigungsformular für Softwarehersteller und Behörden und wird es der Bundesregierung ermöglichen um Sicherheitslücken schnell zu identifizieren, wenn neue Schwachstellen entdeckt werden“, sagte er.

Bidens Cybersicherheitsleitfaden forderte auch Bundesbehörden auf, ein Selbstbescheinigungsformular von einem Softwareanbieter zu erwerben, das bestätigt, dass das Produkt den Sicherheitsleitlinien von entspricht Nationales Institut für Standards und Technologie (NIST) bevor Sie eine neue Software verwenden.

Je nach Behörde muss der Softwareanbieter die Einhaltung möglicherweise auch durch Artefakte einschließlich einer Software-Stückliste (SBOM) nachweisen. Darüber hinaus muss der Anbieter möglicherweise nachweisen, dass er an einem Programm zur Offenlegung von Schwachstellen teilnimmt.

Während die Durchführungsverordnung und die Richtlinien private Anbieter nicht rechtlich dazu verpflichten, sichere und konforme Software herauszubringen, sagte DeRusha, dass diese Maßnahme nach dem Angriff auf die Lieferkette von SolarWinds im Jahr 2020 notwendig war. Dieser Cyberangriff führte dazu, dass mehrere Regierungsbehörden Opfer von Datenschutzverletzungen wurden.

„Dieser Vorfall gehörte zu einer Reihe von Cyberangriffen und erheblichen Software-Schwachstellen in den letzten zwei Jahren, die die Bereitstellung von Regierungsdiensten für die Öffentlichkeit sowie die Integrität großer Mengen persönlicher Informationen und Geschäftsdaten, die von verwaltet werden, bedroht haben den privaten Sektor“, fügte DeRusha in seiner Erklärung hinzu.