Casa Branca emite orientação de segurança cibernética para fornecedores de software

Publicado em: 16 de Setembro de 2022

A Casa Branca divulgou orientações de segurança cibernética na quarta-feira para fornecedores de software que serviram como uma extensão de uma ordem executiva assinada pelo presidente Joe Biden em 2021.

Biden assinou “Melhorando a Segurança Cibernética da Nação” em maio de 2021, que delineou planos para modernizar a abordagem de segurança cibernética dos Estados Unidos e implementar técnicas como autenticação multifatorial. Uma parte do ordem executiva referiu planos para fornecer diretrizes para o software adquirido e implantado em redes governamentais, que foi contido no relatório de quarta-feira memorando.

Em uma casa branca afirmação também postado na quarta-feira, o CISO Federal e Vice-Diretor Nacional Cibernético Chris DeRusha disse que, embora o único critério de qualidade para um software fosse se ele funcionava conforme anunciado, a tecnologia hoje deve ser desenvolvida de uma forma que a torne resiliente e segura .

“A orientação, desenvolvida com contribuições do setor público e privado, bem como da academia, orienta as agências a usarem apenas software que esteja em conformidade com padrões seguros de desenvolvimento de software, cria um formulário de auto-atestado para produtores e agências de software e permitirá que o governo federal para identificar rapidamente falhas de segurança quando novas vulnerabilidades são descobertas”, disse ele.

A orientação de segurança cibernética de Biden também exigia que as agências do governo federal adquirissem um formulário de autoatestado de um fornecedor de software confirmando que o produto está em conformidade com as orientações de segurança do Instituto Nacional de Padrões e Tecnologia (NIST) antes de usar qualquer novo software.

Dependendo da agência, o fornecedor do software também pode ter que comprovar a conformidade por meio de artefatos, incluindo uma lista de materiais de software (SBOM). Além disso, o fornecedor pode ser obrigado a fornecer provas de que participa de um programa de divulgação de vulnerabilidades.

Embora a ordem executiva e as diretrizes não exijam legalmente que os fornecedores privados liberem software seguro e compatível, DeRusha disse que esta ação foi necessária após o ataque à cadeia de fornecimento da SolarWinds em 2020. Este ataque cibernético fez com que várias agências governamentais fossem vítimas de violações de dados.

“Este incidente foi parte de uma série de invasões cibernéticas e vulnerabilidades de software significativas nos últimos dois anos que ameaçaram a prestação de serviços governamentais ao público, bem como a integridade de grandes quantidades de informações pessoais e dados comerciais que são gerenciados por o setor privado”, acrescentou DeRusha em sua declaração.