Vând software guvernului SUA? Cunoașteți mai întâi atestarea de securitate

În ultimele câteva luni, guvernul SUA a introdus câteva cerințe noi care afectează organizațiile care vând software agențiilor guvernamentale. Deoarece aceste noi cerințe sunt complexe, mulți lideri nu sunt încă siguri cum va fi afectată organizația lor. În acest articol, vă voi împărtăși câteva dintre cele mai importante concepte pe care va trebui să le înțelegeți, astfel încât să vă puteți proteja afacerea guvernamentală și să rămâneți în conformitate.

Noi cerințe de securitate software: ce s-a schimbat?

În ultimii câțiva ani, incidente de securitate de mare profil, cum ar fi cele care au afectat SolarWinds și pachetul open source log4j au sporit atenția guvernamentală asupra securității software-ului. Incepand cu Ordinul Executiv al Casei Albe 14028 privind îmbunătățirea securității cibernetice a națiunii în mai 2021, o serie de acțiuni în ultimii doi ani au condus la un set de cerințe clare care afectează orice furnizor de software guvernamental.

În viitor, orice organizație care vinde software guvernului SUA va fi obligată să ateste că se conformează cu practicile de dezvoltare software securizate prezentate de guvern în Cadrul de dezvoltare software securizat NIST.

Unul dintre cele mai importante lucruri de înțeles este că organizațiile nu trebuie să ateste pur și simplu că respectă aceste practici ele însele pentru codul software pe care îl scriu, ci și că componentele open source pe care le introduc în aplicațiile lor urmează și aceste practici.

La începutul lunii iunie, guvernul a reafirmat aceste cerințe în Memorandumul OMB M-23-16 (PDF) și stabiliți termene limită pentru conformitate care se apropie cu repeziciune — probabil să ajungă în al patrulea trimestru al acestui an (pentru software-ul critic) și în primul trimestru al anului viitor (pentru toate celelalte software).

Aceasta înseamnă că în următoarele câteva luni, organizațiile se vor lupta să înțeleagă aceste noi cerințe de atestare și să determine modul în care organizația lor se va conforma, atât pentru codul pe care îl scriu ei înșiși, cât și pentru componentele open source pe care le aduc în produsele lor software.

Conform M-23-16, sancțiunea pentru nerespectare este severă:

„Agenția [federală] trebuie întrerupeți utilizarea software-ului dacă agenția consideră că documentația producătorului de software este nesatisfăcătoare sau dacă agenția nu poate confirma că producătorul a identificat practicile pe care nu le poate atesta…”

Caz deosebit de provocator al open source

Pe măsură ce multe organizații se scufundă mai adânc în cerințele de atestare, ele descoperă că conformitatea, în special în cazul termenelor limită strânse, se poate dovedi o provocare. NIST SSDF este un cadru complex pentru securitate și organizațiilor va dura timp nu numai să se asigure că respectă aceste practici, ci și să își documenteze practicile în detaliu.

Dar și mai descurajantă este că guvernul le cere furnizorilor să ateste practicile de securitate ale întregului lor produs software, care include componentele open source din acel software. Astăzi, software-ul modern este adesea alcătuit în mare parte din componente open source care au fost combinate împreună cu unele software personalizate. În cercetarea noastră am constatat că peste 90% dintre aplicații conțin componente open source, și în multe cazuri open source reprezintă mai mult de 70% din baza de cod.

Organizația dvs. poate să ateste propriile practici de securitate, dar cum puteți atesta practicile de securitate urmate de întreținerii open source care scriu și mențin codul open source pe care îl utilizați în aplicațiile dvs.?

Este o provocare uriașă, iar organizațiile caută întreținerii open source pentru mai multe informații despre practicile lor de securitate. Din păcate, mulți dintre acești menținători open source sunt voluntari neplătiți, care lucrează pe open source ca hobby în timpul nopții și în weekend. Deci, a le cere să facă munca suplimentară pentru a valida că practicile lor de securitate se potrivesc cu standardele înalte stabilite de NIST SSDF nu este practic.

O modalitate prin care organizațiile pot evita această provocare este să nu folosească sursa deschisă în aplicațiile lor. Și, deși pare o soluție simplă, este și o alternativă din ce în ce mai neviabilă, deoarece sursa deschisă a devenit, de facto, platforma modernă de dezvoltare.

O modalitate mai bună de a rezolva această problemă este să vă asigurați că întreținerii pachetelor pe care vă bazați sunt plătiți pentru a face această muncă importantă de securitate.

Acest lucru poate necesita să faceți cercetări suplimentare pentru a vă asigura că componentele open source pe care le utilizați au în spate menținători care sunt plătiți – fie de către binefăcători corporativi, fie de către fundații, fie prin eforturi comerciale – pentru a valida pachetele lor îndeplinesc aceste standarde importante de securitate. Sau puteți chiar să vă adresați personalului de întreținere și să deveniți un sponsor corporativ al muncii lor. Când vă proiectați abordarea, rețineți că cele mai multe aplicații moderne netriviale au mii de dependențe distincte de sursă deschisă, fiecare creată și întreținută de un individ sau o echipă diferită, astfel încât efortul manual de a scala această abordare este considerabil.

Un pas înainte provocator, dar necesar

Aceste cerințe pot fi dureros de respectat, dar pe fundalul creșterii vulnerabilităților de securitate care dăunează masiv sectorului public și privat, ele reprezintă un pas înainte necesar. Guvernul SUA este cel mai mare cumpărător de bunuri și servicii din lume, iar acest lucru este la fel de adevărat pentru IT ca și pentru alte domenii. Folosindu-și puterea de cumpărare pentru a forța îmbunătățiri ale standardului general de securitate pentru software, guvernul ajută la asigurarea unui viitor mai sigur și mai sigur.

• Distribuție de conținut bazat pe SEO și PR. Amplifică-te astăzi.
• PlatoData.Network Vertical Generative Ai. Împuterniciți-vă. Accesați Aici.
• PlatoAiStream. Web3 Intelligence. Cunoștințe amplificate. Accesați Aici.
• PlatoESG. Automobile/VE-uri, carbon, CleanTech, Energie, Mediu inconjurator, Solar, Managementul deșeurilor. Accesați Aici.
• BlockOffsets. Modernizarea proprietății de compensare a mediului. Accesați Aici.
• Sursa: https://www.darkreading.com/application-security/selling-software-government-know-security-attestation-first