Gestion des risques liés aux tiers dans le décret présidentiel
En mai 2021, le président des États-Unis a signé ledécret présidentiel sur l'amélioration de la cybersécurité nationale. Élaboré à la suite de laviolation de la chaîne d'approvisionnement du logiciel SolarWinds Orion, ce décret présidentiel (EO) demande à plusieurs agences du gouvernement fédéral américain de mieux coordonner leurs efforts en matière de prévention, de détection, de réponse et d'atténuation des incidents et des violations de sécurité.
La section 4 du décret présidentiel, intitulée « Renforcer la sécurité de la chaîne logistique des logiciels », introduit plusieurs nouvelles exigencesen matière de gestion des risques liés aux tiersque les agences fédérales doivent mettre en œuvre. Plus précisément, le décret présidentiel vise à améliorer la chaîne logistique des logiciels grâce à des lignes directrices spécifiques pouvant être utilisées pour évaluer la sécurité des logiciels, notamment des critères permettant d'évaluer les pratiques de sécurité des développeurs et des fournisseurs eux-mêmes, et d'identifier les outils et les méthodes permettant de démontrer la conformité à ces pratiques sécurisées.
Prevalent automatise les tâches critiques nécessaires pour identifier, évaluer, analyser, corriger et surveiller en permanence les risques liés à la sécurité, à la confidentialité, aux opérations, à la conformité et aux achats des tiers à chaque étape du cycle de vie des fournisseurs.
Exigences pertinentes
- Identifiez les fournisseurs considérés comme essentiels et concentrez vos efforts d'évaluation sur ceux qui présentent le risque le plus élevé pour vos activités.
- Évaluer régulièrement les pratiques sécurisées du cycle de vie du développement logiciel des principaux tiers qui contribuent au code ou aux mises à jour des versions finales.
- Centraliser la documentation et les rapports destinés aux auditeurs
- Évaluer régulièrement les pratiques sécurisées du cycle de vie du développement logiciel des principaux tiers qui contribuent au code ou aux mises à jour des versions finales.
- Trier et corriger les résultats des évaluations et des contrôles
Respect des exigences du décret présidentiel sur l'amélioration de la cybersécurité nationale
Voici comment Prevalent peut aider à évaluer les fournisseurs tiers conformément au décret présidentiel :
Exigences en matière d'EO
Comment nous aidons
4 (e) (i) (A) à (F)
Ces directives doivent inclure des normes, des procédures ou des critères concernant :
(i) des environnements de développement logiciel sécurisés, y compris des mesures telles que :
(A) l'utilisation d'environnements de compilation administrativement séparés ;
(B) l'audit des relations de confiance ;
(C) la mise en place d'une authentification multifactorielle basée sur les risques et d'un accès conditionnel à l'échelle de l'entreprise ;
(D) la documentation et la réduction des dépendances vis-à-vis des produits d'entreprise qui font partie des environnements utilisés pour développer, construire et modifier des logiciels ;
(E) l'utilisation du chiffrement des données ; et
(F) la surveillance des opérations et des alertes et la réponse aux cyberincidents tentés et réels ;
Lorsque vous évaluez les pratiques de sécurité des logiciels tiers, tirez parti des modèles de questionnaires d'évaluation des risques standardisés et reconnus par le secteur, notamment leStandard Information Gathering (SIG),le NIST,le CMMC et les évaluations connexes intégrées à laplateforme Prevalent TPRM. L'utilisation d'une évaluation standardisée unique pour l'ensemble de vos fournisseurs permet aux agences de comparer plus efficacement les pratiques de sécurité logicielle de leurs fournisseurs.
Remarque : les agences peuvent également tirer parti des réseaux PrevalentVendor Risk Networks, qui contiennent des évaluations complètes des risques de sécurité afin d'accélérer le processus d'identification des risques.
4 (e) (ii)
(ii) générer et, à la demande d'un acheteur, fournir des artefacts qui démontrent la conformité aux processus énoncés au paragraphe (e)(i) de la présente section ;
Lorsque vous évaluez les pratiques de développement logiciel sécurisé d'un tiers, tirez parti de la capacité de Prevalent à centraliser les preuves à l'appui dans la plateforme grâce à la gestion intégrée des tâches et des acceptations, ainsi qu'aux fonctionnalités de téléchargement obligatoire. Un référentiel de documents sécurisé garantit que les parties concernées peuvent examiner la documentation et les artefacts en conséquence.
4 (e) (iii)
(iii) utiliser des outils automatisés ou des processus comparables pour maintenir des chaînes d'approvisionnement fiables en code source, garantissant ainsi l'intégrité du code ;
Voir 4 (e) (i) (A)-(F) ci-dessus.
4 (e) (iv)
(iv) utiliser des outils automatisés ou des processus comparables qui vérifient les vulnérabilités connues et potentielles et les corrigent, lesquels doivent fonctionner régulièrement, ou au minimum avant la sortie d'un produit, d'une version ou d'une mise à jour ;
Les tiers doivent analyser, trier et corriger les vulnérabilités de leurs logiciels et codes, puis en attester. Mais les menaces ne s'arrêtent pas là. Les équipes de sécurité doivent également surveiller Internet et le dark web à la recherche de cybermenaces, de fuites d'identifiants ou d'autres indicateurs de compromission qui, s'ils ne sont pas détectés, peuvent ouvrir la voie à des intrusions dans les systèmes fédéraux.Prevalent Vendor Threat Monitorcombine des flux directement dans la plateforme Prevalent afin de garantir aux organisations une vue complète des risques, qu'ils soient révélés lors d'une évaluation périodique ou grâce à une surveillance continue.
4 (e) (v)
(v) fournir, à la demande d'un acheteur, des artefacts de l'exécution des outils et processus décrits aux sous-sections (e)(iii) et (iv) de la présente section, et rendre publiques des informations sommaires sur l'achèvement de ces actions, y compris une description sommaire des risques évalués et atténués ;
La plateforme TPRM Prevalent révèle les tendances en matière de risques, leur statut, les mesures correctives et les exceptions aux comportements courants pour les fournisseurs individuels ou les groupes grâce à des informations issues de l'apprentissage automatique intégré. Cela permet aux équipes d'identifier rapidement les valeurs aberrantes dans les évaluations, les tâches, les risques, etc. qui pourraient justifier une enquête plus approfondie.
4 (e) (vi)
(vi) maintenir des données précises et à jour, la provenance (c'est-à-dire l'origine) du code ou des composants logiciels, et les contrôles sur les composants logiciels internes et tiers, les outils et les services présents dans les processus de développement logiciel, et effectuer des audits et appliquer ces contrôles de manière récurrente ;
Prevalent met automatiquement en correspondance les informations recueillies lors des audits internes avec les normes ou les cadres réglementaires applicables dans cette EO, notamment NIST, CMMC et autres, afin de visualiser et de traiter rapidement les lacunes importantes en matière de contrôle et d'attester des pratiques.
4 (e) (vii)
(vii) fournir à l'acheteur une nomenclature logicielle (SBOM) pour chaque produit, soit directement, soit en la publiant sur un site web public ;
Voir 4 (e) (i) (A)-(F) ci-dessus.
4 (e) (viii)
(viii) participer à un programme de divulgation des vulnérabilités qui comprend un processus de signalement et de divulgation ;
Voir 4 (e) (i) (A)-(F) ci-dessus.
4 (e) (ix)
(ix) attestant la conformité avec les pratiques de développement de logiciels sécurisés ; et
Voir 4 (e) (ii) ci-dessus.
4 (e) (x)
(x) garantir et attester, dans la mesure du possible, l'intégrité et la provenance des logiciels libres utilisés dans toute partie d'un produit.
Voir 4 (e) (vi) ci-dessus.
