Définir les logiciels critiques : l'ordonnance exécutive cybersécurité de Biden expliquée

Sur directive du Président Biden, le National Institute of Standards and Technology (NIST) a récemment publié une définition mise à jour de ce qui constitue des composants logiciels « critiques » couramment trouvés dans les chaînes d'approvisionnement. Mais selon un expert en cybersécurité, le langage révèle une omission curieuse.

En proposant quels aspects de la technologie de cybersécurité devraient être inclus dans la phase d'implémentation initiale de l'ordonnance exécutive de l'Administration pour examiner et sécuriser les chaînes d'approvisionnement critiques de la nation, le NIST exclut les logiciels embarqués et les composants firmware, note Eric Greenwald, conseiller général chez Finite State, un fournisseur de systèmes de sécurité pour appareils connectés.

Reconnaissant que de tels composants sont souvent « critiques » pour sécuriser les systèmes IT, le NIST suggère néanmoins qu'ils sont trop complexes par nature pour être inclus dans la phase initiale des efforts de l'Administration.

Le NIST dit avoir coordonné sa définition avec les contributions de nombreuses autres agences, dont la Cybersecurity & Infrastructure Security Agency (CISA), l'Office of Management and Budget, l'Office of the Director of National Intelligence, et la National Security Agency. La CISA, partie du Department of Homeland Security, s'appuiera sur les conclusions du NIST pour élaborer sa propre liste de catégories logicielles relevant du champ de la première phase de l'examen.

L'affirmation du NIST selon laquelle les logiciels embarqués et firmware — les contrôles de bas niveau de base pour le matériel des appareils — sont trop complexes pour être traités immédiatement se trouve dans une réponse aux « questions fréquemment posées ». Mais Greenwald dit être perplexe face à cette brève déclaration.

« Je ne sais pas ce qu'ils veulent dire par là », dit-il, arguant que la définition du NIST pourrait avoir pour effet d'exclure des éléments vraiment critiques tels que les pare-feu « simplement parce qu'ils sont sur des appareils plutôt que basés sur le cloud ».

Greenwald réalise que le NIST pourrait préférer ne pas inclure initialement les logiciels embarqués sur un chipset dans un appareil. « Mais quand vous parlez d'un système d'exploitation, ou de logiciel de couche application, il n'a pas de sens pour moi d'exclure cela comme catégorie. Il est difficile de comprendre comment ils pourraient tracer une distinction significative entre logiciel d'appareil et firmware. »

« Complexité » n'est pas une justification pour la distinction, dit-il. « J'argumenterais que plus c'est complexe, plus il est important d'appliquer des normes de sécurité élevées. »

Une motivation possible pour le NIST de tracer la ligne aux logiciels embarqués et firmware est un désir de « ne pas mordre plus qu'on ne peut mâcher » dans la phase d'implémentation initiale de l'ordonnance exécutive, reconnaît Greenwald. En surélevant sa définition de ce qui constitue un logiciel critique, l'agence risquerait de dissuader les entreprises tech privées de participer aux achats du gouvernement fédéral. Pourtant, dit-il, ce n'est pas une raison légitime pour exclure cette classe de logiciel d'une action précoce.

La distinction peut sembler académique pour certains, mais elle va au cœur de quels fournisseurs technologiques peuvent être confiés pour fournir des systèmes de sécurité clés tant au gouvernement qu'au secteur privé. Le Department of Defense a récemment durci ses propres normes d'achat, avec l'émission de sa Cybersecurity Maturity Model Certification (CMMC). La CMMC dicte que les contractants éligibles obtiennent des certifications tierces pour vendre leur logiciel au DOD.

Greenwald voit la possibilité d'instaurer un régime qui balayerait instantanément des centaines de milliers de contractants dans une initiative de conformité rigoureuse. « Il y a des questions sur qui exactement est censé être soumis à ces règles », dit-il. « Le manque de clarté est le diable. »

Mais le manque de clarté est aussi la préoccupation de Greenwald quand il s'agit de l'apparente mise de côté par le NIST des logiciels embarqués et firmware comme éléments critiques nécessitant une attention immédiate de la task force nouvellement nommée de Biden sur les perturbations de la chaîne d'approvisionnement. Il espère que l'agence clarifiera bientôt son intention, ou que la CISA choisira d'inclure la catégorie contestée dans sa liste définitive des logiciels applicables.

Toutefois, si les deux agences continuent d'écarter ces composants pour la phase un de l'ordonnance exécutive, « je suis assez confiant qu'ils seront inclus dans la phase deux », dit Greenwald. Les omettre totalement mettrait sérieusement en péril les efforts pour sécuriser les systèmes contre toute forme de menace cyber.