Mandatul SBOM al Guvernului face parte din...

SBOM-urile sunt lipsite de sens, cu excepția cazului în care fac parte dintr-o strategie mai amplă care identifică riscurile și vulnerabilitățile de-a lungul sistemului de management al lanțului de aprovizionare cu software.

RIEGELSVILLE, Pa. (PRWEB) Martie 13, 2023

Numărul de atacuri cibernetice purtate împotriva sectoarelor guvernamentale din întreaga lume a crescut cu 95% în a doua jumătate a anului 2022, comparativ cu aceeași perioadă de timp din 2021.(1) Costul global al atacurilor cibernetice este de așteptat să crească exponențial de la 8.44 trilioane USD în 2022 la 23.84 trilioane USD până la 2027 trilioane USD. 2.(14028) Pentru a sprijini infrastructura critică a națiunii și rețelele guvernamentale federale, Casa Albă a emis Ordinul executiv 2021, „Îmbunătățirea securității cibernetice a națiunii” în mai 3.(XNUMX) EO definește măsurile de securitate care trebuie urmate de orice software. editor sau dezvoltator care face afaceri cu guvernul federal. Una dintre aceste măsuri impune tuturor dezvoltatorilor de software să furnizeze un Software Bill of Materials (SBOM), o listă completă de inventar de componente și biblioteci care cuprind o aplicație software. Walt Szablowski, fondator și președinte executiv al Eracent, care a oferit vizibilitate completă asupra rețelelor clienților săi mari de peste două decenii, observă: „SBOM-urile sunt lipsite de sens dacă nu fac parte dintr-o strategie mai amplă care identifică riscurile și vulnerabilitățile de-a lungul sistemului de management al lanțului de aprovizionare cu software”.

Administrația Națională pentru Telecomunicații și Informații (NTIA) definește o listă de materiale software ca „o listă completă, structurată formal de componente, biblioteci și module care sunt necesare pentru a construi o anumită bucată de software și relațiile lanțului de aprovizionare dintre ele.”( 4) SUA este deosebit de vulnerabilă la atacuri cibernetice, deoarece o mare parte a infrastructurii sale este controlată de companii private care ar putea să nu fie echipate cu nivelul de securitate necesar pentru a contracara un atac.(5) Avantajul cheie al SBOM este că permit organizațiilor să identifice dacă oricare dintre componentele care alcătuiesc o aplicație software poate avea o vulnerabilitate care poate crea un risc de securitate.

În timp ce agențiile guvernamentale americane vor fi mandatate să adopte SBOM, companiile comerciale ar beneficia în mod clar de acest nivel suplimentar de securitate. Începând cu 2022, costul mediu al unei încălcări a datelor în SUA este de 9.44 milioane USD, cu o medie globală de 4.35 milioane USD.(6) Potrivit unui raport al Oficiului pentru Responsabilitate Guvernamentală (GAO), guvernul federal rulează trei sisteme tehnologice vechi care datează din urmă. cinci decenii. GAO a avertizat că aceste sisteme învechite cresc vulnerabilitățile de securitate și rulează frecvent pe hardware și software care nu mai sunt acceptate.(7)

Szablowski explică: „Există două aspecte cheie pe care fiecare organizație va trebui să le abordeze atunci când folosește SBOM. În primul rând, trebuie să aibă un instrument care să citească rapid toate detaliile dintr-un SBOM, să potrivească rezultatele cu datele despre vulnerabilități cunoscute și să ofere rapoarte informaționale. În al doilea rând, trebuie să poată stabili un proces automat, proactiv pentru a rămâne la curent cu activitatea legată de SBOM și cu toate opțiunile și procesele unice de atenuare pentru fiecare componentă sau aplicație software.”

Modulul de ultimă oră de la Eracent Intelligent Cybersecurity Platform (ICSP)™ Cyber ​​Supply Chain Risk Management™ (C-SCRM) este unic prin faptul că acceptă ambele aspecte pentru a oferi un nivel suplimentar critic de protecție pentru a minimiza riscurile de securitate bazate pe software. Acest lucru este esențial atunci când inițiezi un program SBOM proactiv și automat. ICSP C-SCRM oferă protecție completă cu vizibilitate instantanee pentru a atenua orice vulnerabilități la nivel de componentă. Recunoaște componentele învechite care pot crește și riscul de securitate. Procesul citește automat detaliile detaliate din SBOM și potrivește fiecare componentă listată cu cele mai actualizate date de vulnerabilitate, utilizând Biblioteca de date despre produse IT IT-Pedia® de la Eracent — o sursă unică și autorizată pentru date esențiale referitoare la milioane de hardware IT și produse software.”

Marea majoritate a aplicațiilor comerciale și personalizate conțin cod open-source. Instrumentele standard de analiză a vulnerabilităților nu analizează componentele open-source individuale din aplicații. Cu toate acestea, oricare dintre aceste componente poate conține vulnerabilități sau componente învechite, crescând susceptibilitatea software-ului la încălcări ale securității cibernetice. Szablowski notează: „Majoritatea instrumentelor vă permit să creați sau să analizați SBOM, dar nu adoptă o abordare consolidată și proactivă de management - structură, automatizare și raportare. Companiile trebuie să înțeleagă riscurile care pot exista în software-ul pe care îl folosesc, indiferent dacă este open-source sau proprietar. Și editorii de software trebuie să înțeleagă potențialele riscuri inerente produselor pe care le oferă. Organizațiile trebuie să își întărească securitatea cibernetică cu nivelul îmbunătățit de protecție pe care îl oferă sistemul ICSP C-SCRM de la Eracent.”

Despre Eracent

Walt Szablowski este fondatorul și președintele executiv al Eracent și servește ca președinte al filialelor Eracent (Eracent SP ZOO, Varșovia, Polonia; Eracent Private LTD din Bangalore, India; și Eracent Brazilia). Eracent își ajută clienții să facă față provocărilor legate de gestionarea activelor rețelei IT, a licențelor software și a securității cibernetice în mediile IT complexe și în evoluție de astăzi. Clienții de întreprindere ai Eracent economisesc semnificativ din cheltuielile lor anuale pentru software, își reduc riscurile de audit și securitate și stabilesc procese mai eficiente de gestionare a activelor. Baza de clienți a Eracent include unele dintre cele mai mari rețele corporative și guvernamentale și medii IT din lume — USPS, VISA, US Airforce, Ministerul Britanic al Apărării — și zeci de companii Fortune 500 se bazează pe soluțiile Eracent pentru a-și gestiona și proteja rețelele. Vizita https://eracent.com/. 

Referinte:
1) Venkat, A. (2023, 4 ianuarie). Atacurile cibernetice împotriva guvernelor au crescut cu 95% în ultima jumătate a anului 2022, spune Cloudsek. OSC Online. Preluat la 23 februarie 2023, de pe csoonline.com/article/3684668/cyberattacks-against-governments-jumped-95-in-last-half-of-2022-cloudsek says.html#:~:text=The%20number%20of %20atacuri%20direcționare,AI%2Dbased%20cybersecurity%20company%20CloudSek
2) Fleck, A., Richter, F. (2022, 2 decembrie). Infografică: infracționalitatea cibernetică se așteaptă să crească vertiginos în următorii ani. Statistica Infografică. Preluat la 23 februarie 2023, de la statista.com/chart/28878/expected-cost-of-cybercrime-until-2027/#:~:text=Acording%20to%20estimates%20from%20Statista's,to%20%2423.84%20 %20by%202027
3) Ordin executiv privind îmbunătățirea securității cibernetice a națiunii. Agenția de Securitate Cibernetică și Securitate a Infrastructurii CISA. (nd). Preluat la 23 februarie 2023, de pe cisa.gov/executive-order-improving-nations-cybersecurity
4) Fundația Linux. (2022, 13 septembrie). Ce este un SBOM? Fundația Linux. Preluat la 23 februarie 2023, de pe linuxfoundation.org/blog/blog/what-is-an-sbom
5) Christofaro, B. (nd). Atacurile cibernetice sunt cea mai nouă frontieră a războiului și pot lovi mai puternic decât un dezastru natural. iată de ce SUA ar putea lupta să facă față dacă ar fi lovită. Business Insider. Preluat la 23 februarie 2023, de la businessinsider.com/cyber-attack-us-struggle-taken-offline-power-grid-2019-4
6) Publicat de Ani Petrosyan, 4, S. (2022, 4 septembrie). Costul unei breșe de date în SUA 2022. Statista. Preluat la 23 februarie 2023, de la statista.com/statistics/273575/us-average-cost-incurred-by-a-data-breach/
7) Malone, K. (2021, 30 aprilie). Guvernul federal folosește tehnologie veche de 50 de ani – fără actualizări planificate. CIO Dive. Preluat la 23 februarie 2023, de pe ciodive.com/news/GAO-federal-legacy-tech-security-red-hat/599375/

Trimiteți articolul pe social media sau pe e-mail: