Beyaz Saray Yazılım Satıcıları için Siber Güvenlik Rehberi Yayınladı

Yayınlandı: Eylül 16, 2022

Beyaz Saray, Başkan Joe Biden'ın 2021'de imzaladığı yürütme emrinin bir uzantısı olarak hizmet veren yazılım satıcıları için Çarşamba günü siber güvenlik rehberi yayınladı.

Biden, Mayıs 2021'de ABD'nin siber güvenlik yaklaşımını modernize etme ve çok faktörlü kimlik doğrulama gibi teknikleri uygulama planlarını özetleyen “Ulusun Siber Güvenliğini İyileştirme”yi imzaladı. Bir kısmı icra emri hükümet ağlarında satın alınan ve dağıtılan yazılımlar için kılavuz sağlama planlarına atıfta bulundu. muhtıra.

Beyaz Saray'da ifade Federal CISO ve Ulusal Siber Direktör Yardımcısı Chris DeRusha da Çarşamba günü yayınlanan bir yazıda, bir yazılım parçası için tek kalite kriterinin reklamı yapıldığı gibi çalışıp çalışmadığı iken, bugün teknolojinin onu dayanıklı ve güvenli hale getirecek şekilde geliştirilmesi gerektiğini söyledi. .

“Kamu ve özel sektörün yanı sıra akademiden gelen girdilerle geliştirilen kılavuz, ajansları yalnızca güvenli yazılım geliştirme standartlarına uygun yazılımları kullanmaya yönlendirir, yazılım üreticileri ve ajansları için bir öz-tasdik formu oluşturur ve federal hükümete izin verir. yeni güvenlik açıkları keşfedildiğinde güvenlik açıklarını hızla tespit etmek için” dedi.

Biden'ın siber güvenlik kılavuzu ayrıca federal hükümet kurumlarının bir yazılım satıcısından ürünün güvenlik kılavuzuna uygun olduğunu onaylayan bir öz onay formu almasını gerektiriyordu. Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) Herhangi bir yeni yazılımı kullanmadan önce.

Ajansa bağlı olarak, yazılım satıcısının bir yazılım malzeme listesi (SBOM) dahil olmak üzere yapay öğeler aracılığıyla uyumluluğu kanıtlaması gerekebilir. Ayrıca, satıcının bir güvenlik açığı açıklama programına katıldığına dair kanıt sağlaması gerekebilir.

Yürütme emri ve yönergeler yasal olarak özel satıcıların güvenli ve uyumlu yazılım yayınlamasını gerektirmese de DeRusha, 2020'deki SolarWinds tedarik zinciri saldırısının ardından bu eylemin gerekli olduğunu söyledi. Bu siber saldırı, birkaç devlet kurumunun veri ihlallerinin kurbanı olmasına neden oldu.

"Bu olay, son iki yıl içinde Devlet hizmetlerinin halka sunulmasını ve aynı zamanda tarafından yönetilen büyük miktarda kişisel bilgi ve iş verisinin bütünlüğünü tehdit eden bir dizi siber saldırı ve önemli yazılım güvenlik açıklarından biriydi. özel sektör," diye ekledi DeRusha açıklamasında.