NSA, CISA, ODNI Release Software Supply Chain Guidance pour les développeurs
La National Security Agency (NSA), la Cybersecurity and Infrastructure Security Agency (CISA) et le Bureau du directeur du renseignement national (ODNI) ont publié Sécuriser la chaîne d’approvisionnement logicielle pour les développeurs aujourd’hui. Le produit passe par le Enduring Security Framework (ESF) – un groupe de travail intersectoriel public-privé dirigé par la NSA et la CISA qui fournit des conseils en matière de cybersécurité face aux menaces hautement prioritaires pour l’infrastructure critique du pays.
Le développeur détient une responsabilité essentielle quant à la sécurité de notre logiciel. Alors que l’ESF examinait les événements qui ont conduit à l’attaque de SolarWinds, il était clair qu’un investissement était nécessaire pour créer un ensemble de meilleures pratiques axées sur les besoins du développeur de logiciels. Sécuriser la chaîne d’approvisionnement logicielle pour les développeurs a été créé pour aider les développeurs à atteindre la sécurité grâce à des recommandations évaluées par l’industrie et le gouvernement. Ce guide consolide des ressources précieuses déjà publiées pour que les développeurs puissent les utiliser.
Alors que la cybermenace continue de devenir plus sophistiquée, les adversaires ont commencé à attaquer la chaîne d’approvisionnement des logiciels, plutôt que de s’appuyer sur des vulnérabilités connues du public. Cette compromission de la chaîne d’approvisionnement permet aux acteurs malveillants de se déplacer sur les réseaux sans être détectés. Afin de contrer cette menace, la communauté de la cybersécurité doit se concentrer sur la sécurisation du cycle de vie du développement logiciel.
Les développeurs trouveront des conseils utiles de la NSA et de ses partenaires sur le développement de code sécurisé, la vérification des composants tiers, le renforcement de l’environnement de construction et la livraison du code. Tant que tous les DevOps ne seront pas des DevSecOps, le cycle de vie du développement logiciel sera menacé.
La sécurité n’est pas seulement pour le développeur, c’est pourquoi ESF publiera également des éditions de ce guide pour le fournisseur et le client du logiciel. Nous devons tous faire notre part pour sécuriser nos réseaux.
Si vous avez des questions ou souhaitez en savoir plus sur l’ESF, veuillez contacter NSAESF@cyber.nsa.gov ou visiter la page ESF.