La CISA fait pression sur les fournisseurs de technologies pour qu’ils livrent des logiciels sécurisés “prêts à l’emploi”

Aujourd’hui, l’Agence de la cybersécurité et de la sécurité des infrastructures (CISA), le Federal Bureau of Investigation, la National Security Agency (NSA) et les autorités de cybersécurité d’Australie, du Canada, du Royaume-Uni, d’Allemagne, des Pays-Bas et de Nouvelle-Zélande ont publié de nouvelles conseils exhortant les fabricants de logiciels à prendre les mesures nécessaires pour expédier des produits sécurisés dès la conception, « prêts à l’emploi ».

Le guide, un rapport intitulé “Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security-by-Design and -Default”, vise à “encourager chaque fabricant de technologie à concevoir ses produits de manière à éviter aux clients d’avoir à effectuer constamment surveillance, mises à jour de routine et contrôle des dommages sur leurs systèmes. »

Il décrit également les étapes que les organisations peuvent suivre pour mettre en œuvre des approches sécurisées par conception et sécurisées par défaut, qui sont essentielles pour minimiser les vulnérabilités et les bogues avant leur mise sur le marché, garantissant que les logiciels restent résistants à l’exploitation par les acteurs de la menace.

« Intégrer la sécurité dans le processus de conception n’est pas seulement une bonne pratique, c’est aussi très efficace pour atténuer les défauts des logiciels avant qu’ils n’atteignent le consommateur. Le défi, cependant, est que les organisations adoptent ces pratiques sans affecter l’entreprise, car ce processus prend du temps et nécessite des ressources qui peuvent avoir un impact sur les résultats », a déclaré Ray Kelly, membre de Groupe d’intégrité des logiciels Synopsys.

Le rapport intervient moins d’un an après que l’UE a introduit le Loi sur la cyber-résiliencequi visait à codifier un cadre de cybersécurité pour les producteurs de matériel et de logiciels afin d’améliorer la sécurité des produits pendant la phase de conception et de développement.

Le Cyber ​​Resilience Act et les nouvelles directives de la CISA soulignent qu’il y a un changement à l’échelle de l’industrie qui consiste à ne plus placer le fardeau de la sécurité sur les organisations d’utilisateurs finaux et les clients pour rendre les fournisseurs de logiciels plus transparents et responsables du niveau de bogues et de vulnérabilités présents dans les produits publiés. .