Valge Maja annab välja küberturvalisuse juhised tarkvaramüüjatele

Avaldatud: September 16, 2022

Valge Maja avaldas kolmapäeval tarkvaramüüjatele küberjulgeoleku juhised, mis pikendasid president Joe Bideni 2021. aastal allkirjastatud korraldust.

Biden kirjutas 2021. aasta mais alla dokumendile „Riigi küberturvalisuse parandamine”, milles kirjeldati plaane ajakohastada Ameerika Ühendriikide küberturvalisuse lähenemisviisi ja rakendada selliseid tehnikaid nagu mitmefaktoriline autentimine. Üks osa sellest täitevvõimu viidatud plaanid anda juhised valitsusvõrkudes ostetud ja juurutatud tarkvara kohta, mis sisaldusid kolmapäevases memorandum.

Valges Majas avaldus Kolmapäeval postitati ka föderaalne CISO ja riikliku küberdirektori asetäitja Chris DeRusha, et kuigi varem oli tarkvara ainsaks kvaliteedikriteeriumiks see, kas see toimis nii nagu reklaamitud, tuleb tänapäeval tehnoloogiat arendada viisil, mis muudab selle vastupidavaks ja turvaliseks. .

„Juhend, mis on välja töötatud avaliku ja erasektori ning akadeemiliste ringkondade panusega, suunab agentuure kasutama ainult tarkvara, mis vastab turvalisele tarkvaraarenduse standarditele, loob tarkvaratootjatele ja agentuuridele enesetõendamise vormi ning võimaldab föderaalvalitsusel uute turvaaukude avastamisel turvalüngad kiiresti tuvastada,“ ütles ta.

Bideni küberjulgeoleku juhised nõudsid ka föderaalvalitsuse asutustelt tarkvaramüüjalt enesekinnitusvormi hankimist, mis kinnitaks, et toode vastab liidu turbejuhistele. Riiklik standardite ja tehnoloogia instituut (NIST) enne uue tarkvara kasutamist.

Olenevalt agentuurist võib tarkvaramüüjal olla vaja ka vastavust tõendada artefaktide, sealhulgas tarkvara materjalide arve (SBOM) abil. Lisaks võidakse müüjalt nõuda tõendite esitamist selle kohta, et ta osaleb haavatavuse avalikustamise programmis.

Kuigi täitevkorraldus ja juhised ei nõua juriidiliselt eramüüjatelt turvalise ja nõuetele vastava tarkvara väljalaskmist, ütles DeRusha, et see toiming oli vajalik pärast SolarWindsi tarneahela rünnakut 2020. aastal. See küberrünnak viis selleni, et mitmed valitsusasutused langesid andmerikkumiste ohvriks.

"See juhtum oli üks viimase kahe aasta kübersissetungi ja olulistest tarkvarahaavatavustest, mis on ohustanud avalikkusele valitsuse teenuste osutamist ning suure hulga isikuandmete ja äriandmete terviklikkust, mida haldab erasektor," lisas DeRusha oma avalduses.