Kritieke software definiëren: Biden's Cybersecurity Executive Order uitgelegd

Op richting van president Biden, heeft het National Institute of Standards and Technology onlangs een bijgewerkte definitie uitgegeven van wat "kritieke" softwarecomponenten vormt die algemeen in supply chains worden gevonden. Maar volgens een cybersecurity-expert, onthult de taal een curiosum van een weglating.

In het voorstellen van welke aspecten van cybersecurity-technologie opgenomen moeten worden in de initiële implementatiefase van het executive order van de Administratie om de kritieke supply chains van de natie te herzien en te beveiligen, sluit NIST embedded software en firmware-componenten uit, merkt Eric Greenwald op, general counsel bij Finite State, een aanbieder van connected device beveiligingssystemen.

Erkennend dat dergelijke componenten vaak "kritiek" zijn voor het beveiligen van IT-systemen, stelt NIST niettemin voor dat ze te complex van aard zijn om in de vroege implementatiefase van de inspanningen van de Administratie opgenomen te worden.

NIST zegt dat het zijn definitie gecoördineerd heeft met input van talloze andere agentschappen, waaronder de Cybersecurity & Infrastructure Security Agency (CISA), Office of Management and Budget, Office of the Director of National Intelligence, en National Security Agency. CISA, onderdeel van het Department of Homeland Security, zal gebruikmaken van NIST's bevindingen om zijn eigen lijst van softwarecategorieën te ontwikkelen die onder het bereik vallen van de eerste fase van de review.

NIST's claim dat embedded software en firmware – de basale, low-level controls voor device hardware – te complex zijn om onmiddellijk te behandelen, is vervat in een antwoord op "frequently asked questions." Maar Greenwald zegt dat hij verward is door de korte verklaring.

"Ik weet niet wat ze daarmee bedoelen", zegt hij, arguërend dat de NIST-definitie het effect kan hebben van het uitsluiten van werkelijk kritieke elementen zoals firewalls "simpelweg omdat ze op apparaten zijn in plaats van cloud-based."

Greenwald beseft dat NIST misschien liever geen software die geëmbedded is op een chipset in een device, initieel wil includeren. "Maar als je praat over een besturingssysteem, of applicatie-laag software, maakt het voor me geen zin om die als categorie uit te sluiten. Het is moeilijk te begrijpen hoe ze een zinvolle scheiding kunnen maken tussen device software versus firmware."

"Complexiteit" is geen rechtvaardiging voor de scheiding, zegt hij. "Ik zou argumenteren dat hoe complexer het is, des te belangrijker om verhoogde beveiligingsstandaarden toe te passen."

Een mogelijke motivatie voor NIST om de grens te trekken bij embedded software en firmware is een wens "niet meer te bijten dan ze kunnen kauwen" in de initiële implementatiefase van het executive order, erkent Greenwald. Door over te reiken in zijn definitie van wat kritieke software vormt, zou het agentschap het risico lopen private tech-bedrijven af te schrikken om deel te nemen aan federale overheidsinkoop. Toch, zegt hij, is dat geen legitieme reden om die klasse software van vroege actie uit te sluiten.

De scheiding kan academisch lijken voor sommigen, maar het gaat tot de kern van welke technologieproviders vertrouwd kunnen worden om sleutelbeveiligingssystemen te leveren aan zowel overheid als private sector. Het Department of Defense heeft onlangs zijn eigen standaarden voor inkoop aangescherpt, met de uitgifte van zijn Cybersecurity Maturity Model Certification. CMMC dicteert dat eligible contractanten third-party certificeringen verkrijgen om hun software aan DOD te verkopen.

Greenwald ziet de mogelijkheid van een regime dat honderdduizenden contractanten in een rigorese compliance-initiatief meteen opvangt. "Er zijn vragen over wie precies aan deze regels onderworpen moet zijn", zegt hij. "Gebrek aan duidelijkheid is de duivel."

Maar gebrek aan duidelijkheid is ook Greenwald's zorg wanneer het gaat om NVIDIA's schijnbare afwijzing van embedded software en firm als kritieke elementen die onmiddellijke aandacht vereisen van Biden's nieuw aangestelde task force op supply chain-storingen. Hij hoopt dat het agentschap zijn intentie snel zal verduidelijken, of dat CISA ervoor zal kiezen de betwiste categorie op te nemen in zijn definitieve lijst van toepasselijke software.

Toch, als beide agentschappen die componenten voor fase één van het executive order blijven overslaan, "voel ik me redelijk zeker dat ze in fase twee opgenomen zullen worden", zegt Greenwald. Ze volledig weg te laten zou de inspanningen om systemen te beveiligen tegen elke manier van cyberdreiging ernstig in gevaar brengen.