ITI réitère l'appel pour un processus d'autocotisation normalisé et transparent des logiciels
WASHINGTON – Aujourd'hui, l'association internationale du commerce des technologies ITI a réitéré son appel à un processus standardisé et transparent pour que les producteurs de logiciels fournissent des auto-attestations sur les pratiques de développement de logiciels sécurisés. Dans ses commentaires à l'Agence de la cybersécurité et de la sécurité de l'infrastructure (ISA), l'ITI souligne les défis auxquels sont confrontés les entrepreneurs gouvernementaux en ce qui concerne le processus de mise en oeuvre des nouvelles exigences en matière de sécurité de l'information. La CISA a élaboré l'ébauche du formulaire commun en partenariat avec le Bureau de la gestion et du budget (BG) afin de fournir aux organismes fédéraux une façon normalisée de mettre en oeuvre les exigences visant à assurer la sécurité des logiciels d'utilisation fédérale.
L'ITI est d'accord avec l'objectif stratégique de promouvoir les producteurs de logiciels. a déclaré ITI Vice-président exécutif de la politique Gordon Bitko. Nous nous félicitons de l'engagement de l'administration de Biden à tirer parti de l'expertise de l'industrie en matière de renforcement de la position des États-Unis en matière de cybersécurité et nous continuerons à fournir des commentaires aux intervenants par le biais du plus grand nombre de canaux officiels possible. Pourtant, l'approche itérative de la mise en oeuvre des exigences minimales de sécurité, jumelée à un calendrier ambitieux, a posé d'importants défis à l'industrie pour prendre des décisions fondées sur le risque concernant les investissements appropriés afin de fournir au gouvernement fédéral le niveau d'assurance de développement de logiciels sécurisés souhaité. Nous sommes préoccupés par la façon dont le processus de recouvrement sera opérationnel et par les conséquences de la responsabilité que pose le niveau actuel d'ambiguïté. Nous serions heureux de discuter avec l'OMB et la CISA de la façon dont les inexactitudes d'attestations potentielles, perçues ou affirmées seront traitées, et nous croyons que toutes les parties intéressées désirent un traitement juste et raisonnable à cet égard.
L'adoption d'un processus de déploiement transparent et normalisé auquel participent les intervenants de l'industrie donnera aux entreprises la certitude de gérer les risques, de maintenir les coûts à un niveau bas et de fournir le niveau d'assurance souhaité le plus rapidement possible. Pour s'assurer que le formulaire reflète la dernière étape d'un processus itératif, l'ITI demande à la CISA de mettre à jour le formulaire et les instructions connexes afin de refléter les changements importants apportés aux politiques. Les changements recommandés pour le BVG et la CISA comprennent :
- Les conditions de forme doivent être écrites expressément;
- Le tableau de référence dans les instructions du formulaire est à titre d'information seulement et n'influe pas, ne modifie pas, n'embellit pas ou n'affecte pas les cinq exigences;
- les factures de matériel (SBOM) ne font pas partie des exigences minimales du formulaire;
- Les producteurs de logiciels n'attestent pas le code développé par un tiers.
À la suite de la publication des exigences relatives aux formulaires communs décrites dans les mémorandums M-22-18 et M-23-16, ITI appelé (s’ouvre dans un nouvel onglet) sur l'Administration Biden pour harmoniser les exigences dans le processus d'élaboration des règles, et a récemment demandé directives supplémentaires (s’ouvre dans un nouvel onglet) aux fournisseurs afin que le secteur de la technologie puisse aider à atteindre l'objectif du gouvernement de garantir le processus de développement de logiciels. OMB prorogation du délai (s’ouvre dans un nouvel onglet) pour la mise en œuvre du mémorandum M-22-18 du BOM. À l'heure actuelle, les producteurs de logiciels sont confrontés à d'importants obstacles, notamment des pratiques de sécurité incohérentes dans l'ensemble du gouvernement américain.
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
L'IA est une menace cybernétique. Les défenseurs ont besoin de nouveaux outils et partenariats.
