Definindo Software Crítico: Ordem Executiva de Cibersegurança de Biden Explicada

Sob direção do Presidente Biden, o Instituto Nacional de Padrões e Tecnologia emitiu recentemente uma definição atualizada do que constitui componentes de software "críticos" comumente encontrados dentro de cadeias de abastecimento. Mas segundo um especialista em cibersegurança, a linguagem revela uma omissão curiosa.

Exclusão de Software Embarcado e Firmware

Ao propor quais aspectos de tecnologia de cibersegurança devem ser incluídos na fase inicial de implementação da ordem executiva da Administração para revisar e proteger as cadeias de abastecimento críticas da nação, a NIST exclui software embarcado e componentes de firmware, nota Eric Greenwald, conselheiro geral da Finite State, uma provedora de sistemas de segurança de dispositivos conectados.

Reconhecendo que tais componentes são frequentemente "críticos" para proteger sistemas de TI, a NIST no entanto sugere que são demasiado complexos por natureza para serem incluídos na fase inicial de implementação dos esforços da Administração.

A NIST diz que coordenou sua definição com input de numerosas outras agências, incluindo a Agência de Cibersegurança e Segurança de Infraestrutura (CISA), Escritório de Gestão e Orçamento, Escritório do Diretor de Inteligência Nacional, e Agência de Segurança Nacional. A CISA, parte do Departamento de Segurança Interna, basear-se-á nas descobertas da NIST para elaborar sua própria lista de categorias de software que se enquadram no escopo da primeira fase da revisão.

A afirmação da NIST de que software embarcado e firmware — os controles básicos de baixo nível para hardware de dispositivos — são demasiado complexos para serem abordados imediatamente está contida em uma resposta a "perguntas frequentes". Mas Greenwald diz que está perplexo com a breve declaração.

"Não sei o que eles querem dizer com isso", diz ele, argumentando que a definição da NIST poderia ter o efeito de excluir elementos verdadeiramente críticos como firewalls "simplesmente porque estão em dispositivos em vez de baseados em nuvem."

Greenwald percebe que a NIST pode preferir não incluir inicialmente software embarcado em um chipset em um dispositivo. "Mas quando você está falando sobre um sistema operacional, ou software de camada de aplicação, não faz sentido para mim que você excluiria isso como categoria. É difícil entender como eles poderiam traçar uma distinção significativa entre software de dispositivo em oposição a firmware."

"Complexidade" não é justificativa para a distinção, diz ele. "Argumentaria que quanto mais complexo é, mais importante ter padrões de segurança elevados aplicados a ele."

Uma possível motivação para a NIST traçar a linha no software embarcado e firmware é um desejo "de não abocanhar mais do que podem mastigar" na fase inicial de implementação da ordem executiva, Greenwald reconhece. Ao exagerar em sua definição do que constitui software crítico, a agência arriscaria dissuadir empresas de tecnologia privadas de participar em compras do governo federal. Ainda, ele diz, essa não é uma razão legítima para excluir aquela classe de software de ação precoce.

Implicações para Fornecedores de Tecnologia

A distinção pode parecer acadêmica para alguns, mas vai ao cerne de quais provedores de tecnologia podem ser confiados para fornecer sistemas-chave de segurança tanto para governo quanto para setor privado. O Departamento de Defesa recentemente apertou seus próprios padrões para compras, com emissão de sua Certificação de Modelo de Maturidade de Cibersegurança. CMMC dita que contratantes elegíveis obtenham certificações de terceiros para vender seu software ao DOD.

Greenwald vê a possibilidade de instituir um regime que instantaneamente varra centenas de milhares de contratantes em uma iniciativa rigorosa de conformidade. "Existem perguntas sobre quem exatamente deve estar sujeito a estes", diz ele. "Falta de clareza é o diabo."

Mas falta de clareza também é a preocupação de Greenwald quando se trata da aparente dispensa da NIST de software embarcado e firmware como elementos críticos requerendo atenção imediata pela força-tarefa recém-nomeada de Biden sobre disrupções na cadeia de abastecimento. Ele tem esperanças de que a agência logo esclareça sua intenção, ou que a CISA escolha incluir a categoria disputada em sua lista definitiva de software aplicável.

Ainda, se ambas as agências continuarem a ignorar aqueles componentes para a fase um da ordem executiva, "sinto-me bastante confiante de que serão incluídos na fase dois", diz Greenwald. Omiti-los completamente colocaria em sério risco esforços para proteger sistemas contra qualquer maneira de ameaça cibernética.