Apa yang Merupakan Perangkat Lunak 'Kritis' dalam Perintah Eksekutif Biden tentang Keamanan Siber?
Atas arahan Presiden Biden, Institut Standar dan Teknologi Nasional baru-baru ini mengeluarkan definisi terbaru tentang apa yang merupakan komponen perangkat lunak "kritis" yang biasanya ditemukan dalam rantai pasokan. Namun menurut seorang pakar keamanan siber, bahasa tersebut mengungkapkan kelalaian yang aneh.
Dalam mengusulkan aspek teknologi keamanan siber mana yang harus dimasukkan dalam fase implementasi awal perintah eksekutif Administrasi untuk meninjau dan mengamankan rantai pasokan penting negara, NIST mengecualikan komponen perangkat lunak dan firmware yang disematkan, catat Eric Greenwald, penasihat umum di Finite State, penyedia sistem keamanan perangkat yang terhubung.
Mengakui bahwa komponen seperti itu seringkali “penting” untuk mengamankan I.T. Namun, NIST menyarankan bahwa mereka terlalu kompleks untuk dimasukkan dalam fase implementasi awal upaya Administrasi.
NIST mengatakan pihaknya mengoordinasikan definisinya dengan masukan dari berbagai lembaga lain, termasuk Cybersecurity &Infrastructure Security Agency (CISA), Kantor Manajemen dan Anggaran, Kantor Direktur Intelijen Nasional, dan Badan Keamanan Nasional. CISA, bagian dari Departemen Keamanan Dalam Negeri, akan memanfaatkan temuan NIST untuk menyusun daftar kategori perangkat lunaknya sendiri yang termasuk dalam cakupan fase pertama tinjauan.
Klaim NIST bahwa perangkat lunak dan firmware yang disematkan — kontrol dasar tingkat rendah untuk perangkat keras perangkat — terlalu rumit untuk diambil segera terkandung dalam jawaban atas “pertanyaan yang sering diajukan.” Tapi Greenwald mengatakan dia bingung dengan pernyataan singkat itu.
"Saya tidak tahu apa yang mereka maksud dengan itu," katanya, dengan alasan bahwa definisi NIST dapat memiliki efek mengecualikan elemen yang benar-benar penting seperti firewall "hanya karena mereka ada di perangkat daripada berbasis cloud."
Greenwald menyadari bahwa NIST mungkin memilih untuk tidak menyertakan perangkat lunak yang tertanam pada chipset di perangkat pada awalnya. “Tetapi ketika Anda berbicara tentang sistem operasi, atau perangkat lunak lapisan aplikasi, tidak masuk akal bagi saya bahwa Anda akan mengecualikan itu sebagai kategori. Sulit untuk memahami bagaimana mereka dapat menarik perbedaan yang berarti antara perangkat lunak perangkat yang bertentangan dengan firmware.”
"Kompleksitas" bukanlah pembenaran untuk perbedaan, katanya. “Saya berpendapat bahwa semakin kompleks, semakin penting untuk menerapkan standar keamanan yang lebih tinggi.”
Motivasi yang mungkin bagi NIST untuk menarik garis pada perangkat lunak dan firmware yang disematkan adalah keinginan "untuk tidak menggigit lebih dari yang bisa mereka kunyah" dalam fase implementasi awal perintah eksekutif, Greenwald mengakui. Dengan melampaui definisinya tentang apa yang merupakan perangkat lunak penting, agensi akan mengambil risiko menghalangi perusahaan teknologi swasta untuk berpartisipasi dalam pengadaan pemerintah federal. Namun, katanya, itu bukan alasan yang sah untuk mengecualikan kelas perangkat lunak tersebut dari tindakan awal.
Perbedaannya mungkin tampak akademis bagi sebagian orang, tetapi ini mengarah pada penyedia teknologi mana yang dapat dipercaya untuk memasok sistem keamanan utama bagi pemerintah dan sektor swasta. Departemen Pertahanan baru-baru ini memperketat standar pengadaannya sendiri, dengan menerbitkan Sertifikasi Model Kematangan Keamanan Siber. CMMC menentukan bahwa kontraktor yang memenuhi syarat memperoleh sertifikasi pihak ketiga untuk menjual perangkat lunak mereka ke DOD.
Greenwald melihat kemungkinan melembagakan rezim yang secara instan menyapu ratusan ribu kontraktor dalam inisiatif kepatuhan yang ketat. "Ada pertanyaan tentang siapa sebenarnya yang seharusnya tunduk pada ini," katanya. “Kurangnya kejelasan adalah iblis.”
Tetapi kurangnya kejelasan juga menjadi perhatian Greenwald ketika menyangkut penolakan NIST terhadap perangkat lunak dan perusahaan yang disematkan sebagai elemen penting yang membutuhkan perhatian segera oleh gugus tugas yang baru ditunjuk Biden pada gangguan rantai pasokan. Dia berharap agensi tersebut akan segera mengklarifikasi maksudnya, atau CISA akan memilih untuk memasukkan kategori yang disengketakan dalam daftar definitif perangkat lunak yang berlaku.
Namun, jika kedua lembaga terus melewati komponen tersebut untuk fase satu dari perintah eksekutif, "Saya merasa cukup yakin bahwa mereka akan dimasukkan dalam fase dua," kata Greenwald. Mengabaikannya sama sekali akan sangat membahayakan upaya untuk mengamankan sistem dari segala bentuk ancaman dunia maya.
