美国政府发布联邦机构软件安全法规要求，进一步提振IT供应链安全

 聚焦源代码安全，网罗国内外最新资讯！

作者：Jessica Lyons Hardcastle

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

白宫为联邦机构发布软件安全法规，进一步提振美国IT供应链安全。这些安全要求衍生自美国总统拜登在2021年5月发布的网络安全行政令。而该行政令是SolarWinds事件和其它高级别软件供应链事件爆发后颁布的。

第三方软件提供商需要自认证

具体而言，美国政府要求联邦政府机构从所用第三方软件提供商处获得自认证，即要求厂商保证产品满足美国国家标准与技术研究院 (NIST) 发布的安全软件开发最低标准。

美国政府要求，如果以及当联邦机构和第三方软件提供商更新许可证时，或者当开发人员对代码最初重大修改时，联邦机构必须获得新的第三方软件提供商自认证。这些法规要求由美国管理和预算办公室起草，适用于从现在开始起开发的软件，包括未来的任何重大发布情况。这些要求不适用于某机构自有开发代码，不过白宫指出，鼓励这些机构也遵循这些安全法规。

安全法规还提到，如果软件厂商“无法认证标准自认证表格中所提到的一项或多项NIST指南实践“，则该技术公司需要按照NIST的要求，识别出潜在风险，记录如何缓解这些风险，并开发”行动计划和里程碑“。

美国政府的目的是希望这些安全要求将促成安全的软件，或者至少使政府员工在部署应用程序时了解相关风险和缓解措施。报告中提到了落实这些要求的确切时间线，例如，相关机构拥有最多270天的时间收集与关键软件相关的自认证通告。

美国政府希望联邦机构和软件提供商对这些自认证数据保密，避免给予外国间谍和其它恶意人员了解如何攻破美国网络。安全要求提到，“该机构应当采取恰当措施，确保此类文档不会被厂商或机构本身公开发布”。

白宫提到，如果不选择软件提供商的自认证，或者说机构希望使用包含开源代码的开源软件或产品，则需要获得经联邦风险和授权管理计划 (FedRAMP) 认证的评估组织机构提供的第三方认证。

由FedRAMP第三方评估组织机构 (3PAO) 或经该机构批准的机构所提供的第三方认证，可视作软件产品自认证的替代品，包括在3PAO使用NIST指南作为评估基准，开源软件或产品集成免费代码的场景。

最后，白宫鼓励联邦机构获取“工件”，如从开发者处获得软件物料清单(SBOM)，“在必要情况下，展示安全软件开发实践的合规性”。

另外，联邦机构也可要求软件厂商出示关于“参与漏洞披露计划”的证据，确保任何已发现的缺陷已获得标记并修复。

或对私营企业产生影响

联邦首席信息安全官 Chris DeRusha 发布声明称，“不久前，评估一款软件的唯一真实标准是判断它是否名副其实。随着联网机构面临更多的网络威胁，技术的开发方式必须具有弹性并安全，确保向美国人民交付关键服务的同时保护美国公众数据的安全并抵御外国对手。”她补充道，当前的安全要求，“将确保支撑联邦机构工作的数百万行代码部署了行业安全标准。“

虽然这些安全法规仅适用于联邦政府及其承包商，但可能会对私营企业也产生影响，因为这些私营企业也使用了这些厂商向联邦机构提供的同样的安全产品和服务。

正如一名资深官员指出，在美国总统拜登行政令的新闻发布会上，“我们都在使用同样的软件。我们都在使用Outlook电子邮件。我们都在使用思科和Juniper路由器。因此，从根本上来说，设立这些安全软件标准为所有人都带来了益处。“

谷歌公司前员工、开源软件和供应链安全标准Sigstore的联合创始人兼Chainguard 公司的首席执行官 Dan Lorenc指出，而这反过来也将要求技术提供商优先安全软件开发。他表示，“政府在要求设立方面的作用是施加作为软件采购方的影响，要求厂商遵循关于保护软件供应链安全的行业最佳实践和标准。通过发布这一指南，管理和预算办公室划了一条线，使这一问题成为优先考虑事项。“

既然政府已经将购买安全软件作为优先事项，那么“厂商需要将交付安全软件作为优先事项”，他表示，“简单来说，我们需要构建并创造更好的开发者工具，无缝集成到当前的开发生命周期中。“

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

原文链接

https://www.theregister.com/2022/09/14/white_house_software_security_guidance/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~