Det hvite hus utsteder veiledning for cybersikkerhet for programvareleverandører

Publisert på: September 16, 2022

Det hvite hus ga ut cybersikkerhetsveiledning onsdag for programvareleverandører som fungerte som en forlengelse av en ordre som president Joe Biden signerte i 2021.

Biden signerte «Improving the Nation's Cybersecurity» i mai 2021, som skisserte planer om å modernisere USAs nettsikkerhetstilnærming og implementere teknikker som multifaktorautentisering. En del av utøvende rekkefølge refererte planer om å gi retningslinjer for programvaren som ble kjøpt og distribuert i offentlige nettverk, som var inneholdt i onsdagens memorandum.

I et hvitt hus uttalelse også publisert på onsdag, sa Federal CISO og assisterende nasjonal cyberdirektør Chris DeRusha at selv om de eneste kvalitetskriteriene for et stykke programvare pleide å være om det fungerte som annonsert, må teknologien i dag utvikles på en måte som gjør den robust og sikker .

"Veiledningen, utviklet med innspill fra offentlig og privat sektor samt akademia, pålegger byråer å kun bruke programvare som overholder sikre programvareutviklingsstandarder, oppretter et selvattestskjema for programvareprodusenter og -byråer, og vil tillate den føderale regjeringen. for raskt å identifisere sikkerhetshull når nye sårbarheter oppdages," sa han.

Bidens veiledning for nettsikkerhet krevde også at føderale myndigheter skulle anskaffe et selvattestskjema fra en programvareleverandør som bekrefter at produktet er i samsvar med sikkerhetsveiledningen fra Nasjonalt institutt for standarder og teknologi (NIST) før du bruker ny programvare.

Avhengig av byrået, kan programvareleverandøren også måtte bevise samsvar gjennom artefakter, inkludert en programvareliste (SBOM). I tillegg kan leverandøren bli pålagt å fremlegge bevis på at den deltar i et program for avsløring av sårbarheter.

Selv om den utøvende ordren og retningslinjene ikke lovlig krever at private leverandører frigir sikker og kompatibel programvare, sa DeRusha at denne handlingen var nødvendig etter SolarWinds forsyningskjedeangrep i 2020. Dette nettangrepet førte til at flere offentlige etater ble ofre for datainnbrudd.

"Denne hendelsen var en av en rekke cyberinntrengninger og betydelige programvaresårbarheter de siste to årene som har truet leveringen av offentlige tjenester til offentligheten, samt integriteten til enorme mengder personlig informasjon og forretningsdata som administreres av privat sektor," la DeRusha til i sin uttalelse.