Определение критического ПО: объяснение кибербезопасного исполнительного приказа Байдена

По направлению президента Байдена, Национальный институт стандартов и технологий недавно выпустил обновленное определение того, что составляет «критические» программные компоненты, часто встречающиеся в цепочках поставок. Но по мнению одного эксперта по кибербезопасности, язык раскрывает любопробное упущение.

Предлагая, какие аспекты кибербезопасной технологии должны быть включены в начальную фазу внедрения исполнительного приказа администрации по пересмотру и защите критических цепочек поставок нации, NIST исключает встроенное ПО и компоненты прошивки, отмечает Эрик Гринвальд, генеральный советник Finite State, провайдера систем безопасности подключенных устройств.

Признавая, что такие компоненты часто «критичны» для защиты ИТ-систем, NIST тем не менее предполагает, что они слишком сложны по природе для включения в раннюю фазу внедрения усилий администрации.

NIST заявляет, что координировало свое определение с вкладом множества других агентств, включая Агентство по кибербезопасности и инфраструктурной безопасности (CISA), Управление по управлению и бюджету, Офис директора национальной разведки и Национальное агентство безопасности. CISA, часть Департамента внутренней безопасности, опирается на выводы NIST для составления своего списка категорий ПО, попадающих под область первой фазы пересмотра.

Утверждение NIST о том, что встроенное ПО и прошивка — базовые, низкоуровневые контрольные элементы для аппаратного обеспечения устройств — слишком сложны для немедленного принятия, содержится в ответе на «часто задаваемые вопросы». Но Гринвальд говорит, что он смущен кратким заявлением.

«Я не знаю, что они имеют в виду», говорит он, аргументируя, что определение NIST может иметь эффект исключения действительно критических элементов, таких как файрволы, «просто потому что они на устройствах, а не облачные».

Гринвальд понимает, что NIST может предпочесть не включать изначально ПО, встроенное в чипсет устройства. «Но когда речь идет об операционной системе или прикладном слое ПО, для меня не имеет смысла исключать это как категорию. Трудно понять, как они могут проводить значимое различие между ПО устройства и прошивкой».

«Сложность» — не оправдание для различия, говорит он. «Я бы утверждал, что чем сложнее, тем важнее применить к нему повышенные стандарты безопасности».

Возможная мотивация NIST провести черту у встроенного ПО и прошивки — желание «не откусить больше, чем можешь пережевать» в начальной фазе внедрения исполнительного приказа, признает Гринвальд. Перерасходуя в определении критического ПО, агентство рискует оттолкнуть частные технологические компании от участия в федеральных закупках. Все равно, говорит он, это не легальная причина исключать этот класс ПО из ранних действий.

Различие может показаться академичным для некоторых, но оно идет к сердцу того, какие технологические провайдеры могут быть доверены для поставки ключевых систем безопасности как правительству, так и частному сектору. Департамент обороны недавно ужесточил свои стандарты закупок с выпуском своей Кибербезопасной Модели Зрелости Сертификации (CMMC). CMMC диктует, что подходящие подрядчики получают сторонние сертификаты для продажи своего ПО Министерству обороны.

Гринвальд видит возможность установления режима, который мгновенно охватывает сотни тысячи подрядчиков в строгой инициативе соответствия. «Есть вопросы о том, кто именно должен подпадать под эти», говорит он. «Неясность — дьявол».

Но неясность — это также беспокойство Гринвальда, когда речь идет о видимом отклонении NIST встроенного ПО и прошивки как критических элементов, требующих немедленного внимания вновь назначенной рабочей группой Байдена по сбоям цепочек поставок. Он надеется, что агентство скоро прояснит свой замысел, или CISA выберет включить оспариваемую категорию в свой окончательный список применимого ПО.

Тем не менее, если оба агентства продолжат пропускать эти компоненты для первой фазы исполнительного приказа, «Я довольно уверен, что они будут включены во вторую фазу», говорит Гринвальд. Полное исключение серьезно поставит под угрозу усилия по защите систем от любых видов киберугроз.