ทำเนียบขาวออกคำแนะนำด้านความปลอดภัยทางไซเบอร์สำหรับผู้จำหน่ายซอฟต์แวร์

เผยแพร่เมื่อ: September 16, 2022

ทำเนียบขาวได้เผยแพร่แนวทางความปลอดภัยทางไซเบอร์เมื่อวันพุธสำหรับผู้จำหน่ายซอฟต์แวร์ที่ทำหน้าที่เป็นส่วนขยายของคำสั่งผู้บริหารที่ประธานาธิบดีโจ ไบเดนลงนามในปี 2021

ไบเดนลงนามใน "การปรับปรุงความปลอดภัยทางไซเบอร์ของประเทศ" ในเดือนพฤษภาคมปี 2021 ซึ่งระบุแผนการที่จะปรับปรุงแนวทางการรักษาความปลอดภัยทางไซเบอร์ของสหรัฐอเมริกาให้ทันสมัยและใช้เทคนิคต่างๆ เช่น การตรวจสอบสิทธิ์แบบหลายปัจจัย ส่วนหนึ่งของ คำสั่งของผู้บริหาร แผนอ้างอิงเพื่อให้แนวทางสำหรับซอฟต์แวร์ที่ซื้อและปรับใช้ภายในเครือข่ายของรัฐบาลซึ่งมีอยู่ใน .ของวันพุธ บันทึก.

ในทำเนียบขาว คำสั่ง ยังโพสต์เมื่อวันพุธที่ CISO ของรัฐบาลกลางและรองผู้อำนวยการด้านไซเบอร์แห่งชาติ Chris DeRusha กล่าวว่าในขณะที่เกณฑ์คุณภาพเพียงอย่างเดียวสำหรับซอฟต์แวร์ชิ้นหนึ่งที่เคยทำงานตามที่โฆษณาไว้ เทคโนโลยีในปัจจุบันต้องได้รับการพัฒนาในลักษณะที่ยืดหยุ่นและปลอดภัย .

“แนวทางที่พัฒนาขึ้นด้วยข้อมูลจากภาครัฐและเอกชนตลอดจนสถาบันการศึกษา กำหนดให้หน่วยงานต่างๆ ใช้ซอฟต์แวร์ที่สอดคล้องกับมาตรฐานการพัฒนาซอฟต์แวร์ที่ปลอดภัยเท่านั้น สร้างแบบฟอร์มการรับรองตนเองสำหรับผู้ผลิตซอฟต์แวร์และหน่วยงาน และจะอนุญาตให้รัฐบาลกลาง เพื่อระบุช่องว่างด้านความปลอดภัยได้อย่างรวดเร็วเมื่อมีการค้นพบช่องโหว่ใหม่” เขากล่าว

คำแนะนำด้านความปลอดภัยทางไซเบอร์ของ Biden ยังกำหนดให้หน่วยงานรัฐบาลกลางต้องได้รับแบบฟอร์มการรับรองตนเองจากผู้จำหน่ายซอฟต์แวร์เพื่อยืนยันว่าผลิตภัณฑ์นั้นสอดคล้องกับคำแนะนำด้านความปลอดภัยจาก สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ก่อนใช้ซอฟต์แวร์ใหม่

ผู้จำหน่ายซอฟต์แวร์อาจต้องพิสูจน์การปฏิบัติตามข้อกำหนดผ่านสิ่งประดิษฐ์ต่างๆ รวมทั้งรายการวัสดุซอฟต์แวร์ (SBOM) ทั้งนี้ขึ้นอยู่กับหน่วยงาน นอกจากนี้ ผู้ขายอาจต้องแสดงหลักฐานว่าเข้าร่วมในโครงการเปิดเผยช่องโหว่

ในขณะที่คำสั่งของผู้บริหารและแนวทางปฏิบัติไม่ได้กำหนดให้ผู้ค้าเอกชนต้องเผยแพร่ซอฟต์แวร์ที่ปลอดภัยและเป็นไปตามข้อกำหนด DeRusha กล่าวว่าการดำเนินการนี้จำเป็นหลังจากการโจมตีห่วงโซ่อุปทานของ SolarWinds ในปี 2020 การโจมตีทางไซเบอร์นี้ทำให้หน่วยงานภาครัฐหลายแห่งตกเป็นเหยื่อของการละเมิดข้อมูล

“เหตุการณ์นี้เป็นหนึ่งในกลุ่มของการบุกรุกทางไซเบอร์และช่องโหว่ของซอฟต์แวร์ที่สำคัญในช่วงสองปีที่ผ่านมา ซึ่งคุกคามการให้บริการของรัฐบาลสู่สาธารณะ รวมถึงความสมบูรณ์ของข้อมูลส่วนบุคคลและข้อมูลทางธุรกิจจำนวนมหาศาลที่จัดการโดย ภาคเอกชน” DeRusha กล่าวเสริมในแถลงการณ์ของเขา