ITI fordert erneut einen standardisierten, transparenten Software-Selbstzertifizierungsprozess
WASHINGTON – Der globale Technologie-Handelsverband ITI wiederholte heute seine Forderung nach einem standardisierten und transparenten Prozess für Softwarehersteller, um Selbstbescheinigungen über sichere Softwareentwicklungspraktiken abzugeben. In Kommentaren an die Cybersecurity and Infrastructure Security Agency (CISA) hebt ITI die Herausforderungen hervor, denen sich staatliche Auftragnehmer im Hinblick auf die Einführung neuer Informationssicherheitsanforderungen gegenübersehen. CISA entwickelte den gemeinsamen Formularentwurf in Zusammenarbeit mit dem Office of Management and Budget (OMB), um den Bundesbehörden einen standardisierten Weg zur Umsetzung der Anforderungen zu bieten, die die Sicherheit von föderal genutzter Software gewährleisten sollen.
"ITI stimmt dem politischen Ziel zu, die Einhaltung angemessener und risikobasierter sicherer Softwareentwicklungspraktiken durch Softwarehersteller zu fördern." sagte ITI Executive Vice President of Policy Gordon Bitko. "Wir begrüßen das Engagement der Biden-Administration, die Fachkompetenz der Industrie bei der Stärkung der Cybersicherheit in den Vereinigten Staaten zu nutzen, und werden weiterhin Stakeholder-Feedback über so viele formelle Kanäle wie möglich geben." Der iterative Ansatz zur Umsetzung der Mindestsicherheitsanforderungen, gepaart mit einem ehrgeizigen Zeitplan, hat die Industrie jedoch vor große Herausforderungen gestellt, risikobasierte Entscheidungen über die geeigneten Investitionen zu treffen, um der Bundesregierung das gewünschte Maß an Sicherheit bei der Softwareentwicklung zu bieten. Wir sind besorgt darüber, wie der Inkassoprozess operationalisiert wird und welche Auswirkungen die derzeitige Unklarheit auf die Haftung hat. Wir würden Gespräche mit OMB und CISA darüber begrüßen, wie potenzielle, wahrgenommene oder behaupteten Bescheinigungsungenauigkeiten angegangen werden, und wir glauben, dass alle betroffenen Stakeholder in dieser Hinsicht eine faire und angemessene Behandlung wünschen.
Die Einführung eines transparenten und standardisierten Rollout-Prozesses, der Branchenakteure einbezieht, wird Unternehmen die Sicherheit geben, Risiken zu managen, die Kosten niedrig zu halten und das gewünschte Maß an Sicherheit so rechtzeitig wie möglich zu bieten. Um sicherzustellen, dass das Formular die letzte Phase eines iterativen Prozesses widerspiegelt, fordert ITI die CISA auf, das Formular und die zugehörigen Anweisungen zu aktualisieren, um wichtige politische Änderungen widerzuspiegeln. Die empfohlenen Änderungen für OMB und CISA umfassen die Sicherstellung:
- Formularanforderungen sind so zu lesen, wie sie ausdrücklich geschrieben sind;
- Die Referenztabelle in den Anweisungen des Formulars dient nur zu Informationszwecken und beeinflusst, ändert, verschönert oder beeinflusst die fünf Anforderungen nicht anderweitig;
- Software-Rechnungen von Materialien (SBOMs) sind nicht Teil der Mindestanforderungen des Formulars; und
- Softwarehersteller bestätigen keinen von Drittanbietern entwickelten Code.
Nach der Veröffentlichung der in den Memoranden M-22-18 und M-23-16 aufgeführten gemeinsamen Formularanforderungen, ITI aufgerufen (öffnet in einem neuen Tab) auf die Biden-Administration zur Harmonisierung der Anforderungen im gesamten Regelgebungsprozess und vor kurzem aufgefordert, Zusätzliche Leitlinien (öffnet in einem neuen Tab) an die Anbieter, damit der Technologiesektor dazu beitragen kann, das Ziel der Regierung zu erreichen, den Softwareentwicklungsprozess zu sichern. OMB Verlängerung der Frist (öffnet in einem neuen Tab) zur Umsetzung des OMB Memorandums M-22-18. Derzeit stehen Softwarehersteller vor erheblichen Hindernissen, einschließlich inkonsistenter Softwaresicherheitspraktiken in der gesamten US-Regierung.
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
