La Casa Bianca pubblica una guida alla sicurezza informatica per i fornitori di software

Pubblicato il: 16 settembre 2022

Mercoledì la Casa Bianca ha pubblicato le linee guida sulla sicurezza informatica per i fornitori di software che fungevano da estensione di un ordine esecutivo firmato dal presidente Joe Biden nel 2021.

Biden ha firmato il documento "Migliorare la sicurezza informatica della nazione" nel maggio del 2021, in cui si delineano i piani per modernizzare l'approccio alla sicurezza informatica degli Stati Uniti e implementare tecniche come l'autenticazione a più fattori. Una parte del ordine esecutivo si fa riferimento ai piani per fornire linee guida per il software acquistato e distribuito all'interno delle reti governative, contenuti nel documento di mercoledì memorandum.

In una Casa Bianca dichiarazione Sempre pubblicato mercoledì, Chris DeRusha, CISO federale e vice direttore informatico nazionale, ha affermato che mentre in passato l'unico criterio di qualità per un software era se funzionava come pubblicizzato, oggi la tecnologia deve essere sviluppata in modo da renderla resiliente e sicura. .

"La guida, sviluppata con il contributo del settore pubblico e privato e del mondo accademico, indica alle agenzie di utilizzare solo software conforme agli standard di sviluppo software sicuri, crea un modulo di autocertificazione per i produttori e le agenzie di software e consentirà al governo federale per identificare rapidamente le lacune nella sicurezza quando vengono scoperte nuove vulnerabilità”, ha affermato.

Le linee guida sulla sicurezza informatica di Biden richiedevano inoltre alle agenzie governative federali di acquisire un modulo di autocertificazione da un fornitore di software che confermasse che il prodotto è conforme alle linee guida sulla sicurezza del National Institute of Standards and Technology (NIST) prima di utilizzare qualsiasi nuovo software.

A seconda dell'agenzia, il fornitore del software potrebbe anche dover dimostrare la conformità attraverso artefatti, tra cui una distinta base del software (SBOM). Inoltre, al fornitore potrebbe essere richiesto di fornire prova della sua partecipazione a un programma di divulgazione delle vulnerabilità.

Sebbene l’ordine esecutivo e le linee guida non impongano legalmente ai fornitori privati ​​di rilasciare software sicuro e conforme, DeRusha ha affermato che questa azione era necessaria in seguito all’attacco alla catena di fornitura di SolarWinds nel 2020. Questo attacco informatico ha portato diverse agenzie governative a cadere vittime di violazioni dei dati.

"Questo incidente fa parte di una serie di intrusioni informatiche e significative vulnerabilità software avvenute negli ultimi due anni che hanno minacciato la fornitura di servizi governativi al pubblico, nonché l'integrità di grandi quantità di informazioni personali e dati aziendali gestiti da il settore privato”, ha aggiunto DeRusha nella sua dichiarazione.