Mendefinisikan Perangkat Lunak Kritis: Penjelasan Perintah Eksekutif Biden tentang Keamanan Siber

Pada arah Presiden Biden, National Institute of Standards and Technology baru-baru ini menerbitkan definisi terbaru apa yang merupakan komponen perangkat lunak "kritis" yang sering ditemukan dalam rantai pasok. Namun menurut satu ahli keamanan siber, bahasa tersebut mengungkapkan pengesanan yang aneh.

Dalam menyarankan aspek keamanan siber mana yang harus termasuk dalam fase implementasi awal dari perintah eksekutif Administrasi untuk meninjau dan mengamankan rantai pasok kritis negara, NIST mengecualikan komponen perangkat lunak tersemat dan firmware, menurut Eric Greenwald, general counsel di Finite State, penyedia sistem keamanan perangkat terhubung.

Mengakui bahwa komponen tersebut seringkali "kritis" untuk mengamankan sistem I.T., NIST meskipun itu menyarankan bahwa mereka terlalu kompleks dalam sifatnya untuk dimasukkan dalam fase implementasi awal dari upaya Administrasi.

NIST mengatakan telah menyelaraskan definisinya dengan masukan dari banyak agensi lain, termasuk Cybersecurity & Infrastructure Security Agency (CISA), Office of Management and Budget, Office of the Director of National Intelligence, dan National Security Agency. CISA, bagian dari Departemen Keamanan Dalam Negeri, akan menarik temuan NIST untuk merancang daftar sendiri kategori perangkat lunak yang termasuk dalam cakupan fase pertama dari tinjauan.

Klaim NIST bahwa perangkat lunak tersemat dan firmware — kontrol dasar, tingkat rendah untuk perangkat keras perangkat — terlalu kompleks untuk segera diangkat terkandung dalam jawaban atas "pertanyaan yang sering diajukan." Namun Greenwald mengatakan ia kebingungan dengan pernyataan singkat tersebut.

"Saya tidak tahu apa yang mereka maksud dengan itu," katanya, berargumen bahwa definisi NIST dapat memiliki efek mengecualikan elemen yang benar-benar kritis seperti firewall "hanya karena mereka berada pada perangkat daripada berbasis cloud."

Greenwald menyadari bahwa NIST mungkin lebih suka untuk tidak awalnya menyertakan perangkat lunak yang tersemat pada chipset dalam perangkat. "Tapi ketika Anda berbicara tentang sistem operasi, atau perangkat lunak lapisan aplikasi, tidak masuk akal bagi saya untuk mengecualikannya sebagai kategori. Sulit untuk dipahami bagaimana mereka bisa membuat perbedaan yang bermakna antara perangkat lunak perangkat dan firmware."

"Kompleksitas" bukanlah justifikasi untuk perbedaan, katanya. "Saya akan berargumen bahwa semakin kompleks, semakin penting untuk menerapkan standar keamanan yang ditingkatkan padanya."

Motivasi yang mungkin bagi NIST untuk menarik garis pada perangkat lunak tersemat dan firmware adalah keinginan "tidak menggigit lebih dari yang dapat diunyah" dalam fase implementasi awal dari perintah eksekutif, Greenwald mengakui. Dengan melebihi batas dalam definisi apa yang merupakan perangkat lunak kritis, agensi akan berisiko meniadakan perusahaan teknologi swasta dari berpartisipasi dalam pengadaan pemerintah federal. Masih, katanya, itu bukan alasan yang sah untuk mengecualikan kelas perangkat lunak ini dari tindakan awal.

Perbedaan mungkin tampak akademis bagi beberapa orang, tetapi ini sampai pada inti dari penyedia teknologi mana yang dapat dipercaya untuk menyediakan sistem keamanan kunci bagi baik pemerintah maupun sektor swasta. Departemen Pertahanan baru-baru ini memperketat standar pengadaan mereka sendiri, dengan penerbitan Cybersecurity Maturity Model Certification-nya. CMMC mengharuskan kontraktor yang memenuhi syarat untuk mendapatkan sertifikasi pihak ketiga untuk menjual perangkat lunak mereka kepada DOD.

Greenwald melihat kemungkinan untuk mengadakan regimen yang secara instan menyapu ratusan ribu kontraktor dalam inisiatif kepatuhan yang ketat. "Ada pertanyaan tentang siapa yang sebenarnya sepatutnya tunduk pada ini," katanya. "Kurangnya klarifikasi adalah iblis."

Tetapi kurangnya klarifikasi juga adalah kekhawatiran Greenwald ketika datang ke penolakan NIST yang tampaknya terhadap perangkat lunak tersemat dan firmware sebagai elemen kritis yang memerlukan perhatian segera oleh tugas tugas baru yang ditunjuk Biden untuk gangguan rantai pasok. Dia berharap agensi akan segera mengklarifikasi niatnya, atau CISA akan memilih untuk menyertakan kategori yang dipertentangkan dalam daftar definitifnya tentang perangkat lunak yang berlaku.

Masih, jika kedua agensi terus mengabaikan komponen-komponen tersebut untuk fase satu dari perintah eksekutif, "Saya merasa cukup yakin bahwa mereka akan termasuk dalam fase dua," Greenwald katanya. Menyisikannya sama sekali akan secara serius membahayakan upaya untuk mengamankan sistem terhadap ancaman siber apa pun.