Kritische Software definieren: Bidens Cybersecurity-Dekret erklärt

Auf Anweisung von Präsident Biden hat das National Institute of Standards and Technology (NIST) kürzlich eine aktualisierte Definition dessen veröffentlicht, was „kritische“ Softwarekomponenten ausmacht, die häufig in Lieferketten vorkommen. Doch laut einem Cybersicherheitsexperten offenbart die Formulierung eine kuriose Auslassung.

Bei der Vorschlag, welche Aspekte der Cybersicherheitstechnologie in die initiale Implementierungsphase des Verwaltungsdekrets zur Überprüfung und Sicherung der kritischen Lieferketten der Nation einbezogen werden sollen, schließt NIST eingebettete Software und Firmware-Komponenten aus, bemerkt Eric Greenwald, General Counsel bei Finite State, einem Anbieter von Connected-Device-Sicherheitssystemen.

Obwohl NIST anerkennt, dass solche Komponenten oft „kritisch“ für die Sicherung von IT-Systemen sind, schlägt es vor, sie seien zu komplex, um in die frühe Implementierungsphase der Bemühungen der Administration aufgenommen zu werden.

NIST gibt an, die Definition mit Input zahlreicher anderer Agenturen koordiniert zu haben, darunter die Cybersecurity & Infrastructure Security Agency (CISA), Office of Management and Budget, Office of the Director of National Intelligence und National Security Agency. CISA, Teil des Department of Homeland Security, wird auf NISTs Erkenntnisse zurückgreifen, um seine eigene Liste von Softwarekategorien zu erstellen, die in den Geltungsbereich der ersten Prüfphase fallen.

NISTs Behauptung, eingebettete Software und Firmware – die grundlegenden Low-Level-Steuerungen für Gerätehardware – seien zu komplex für eine sofortige Behandlung, findet sich in einer Antwort auf „häufig gestellte Fragen“. Greenwald zeigt sich von der knappen Aussage verwirrt.

„Ich weiß nicht, was sie damit meinen“, sagt er und argumentiert, die NIST-Definition könnte den Effekt haben, tatsächlich kritische Elemente wie Firewalls auszuschließen „einfach weil sie auf Geräten statt in der Cloud sitzen.“

Greenwald erkennt an, dass NIST vielleicht bevorzugt, Software, die auf einem Chipsatz in einem Gerät eingebettet ist, zunächst nicht einzubeziehen. „Aber wenn man über ein Betriebssystem oder Application-Layer-Software spricht, ergibt es für mich keinen Sinn, diese als Kategorie auszuschließen. Es ist schwer zu verstehen, wie sie eine sinnvolle Unterscheidung zwischen Gerätesoftware und Firmware ziehen könnten.“

„Komplexität“ sei keine Rechtfertigung für die Unterscheidung. „Ich würde argumentieren: Je komplexer es ist, desto wichtiger, erhöhte Sicherheitsstandards anzuwenden.“

Eine mögliche Motivation für NIST, die Grenze bei eingebetteter Software und Firmware zu ziehen, sei der Wunsch, „nicht mehr zu beißen, als man kauen kann“ in der initialen Implementierungsphase des Exekutivbefehls, räumt Greenwald ein. Durch Überdehnung der Definition kritischer Software riskiere die Agentur, private Tech-Unternehmen von der Teilnahme an der Bundesbeschaffung abzuhalten. Dennoch sei das kein legitimer Grund, diese Softwareklasse von frühzeitigen Maßnahmen auszuschließen.

Die Unterscheidung mag manchen akademisch erscheinen, geht aber zum Kern dessen, welche Technologieanbieter vertraut werden können, um Schlüsselsicherheitssysteme sowohl an Regierung als auch Privatsektor zu liefern. Das Verteidigungsministerium verschärfte kürzlich seine eigenen Beschaffungsstandards mit der Cybersecurity Maturity Model Certification (CMMC). CMMC verlangt, dass berechtigte Auftragnehmer Drittzertifizierungen erwerben, um ihre Software an das DoD zu verkaufen.

Greenwald sieht die Möglichkeit, ein Regime zu etablieren, das sofort Hunderttausende Auftragnehmer in eine rigorose Compliance-Initiative einbezieht. „Es gibt Fragen dazu, wer genau diesen unterliegen soll. Unklarheit ist der Teufel.“

Aber Unklarheit ist auch Greenwalds Sorge bei NISTs scheinbarer Abweisung eingebetteter Software und Firmware als kritische Elemente, die sofortige Aufmerksamkeit durch Bidens neu ernannte Task Force für Lieferkettenstörungen erfordern. Er hofft, dass die Agentur bald ihre Absicht klärt, oder dass CISA die umstrittene Kategorie in ihre definitive Liste anwendbarer Software aufnimmt.

Sollten beide Agenturen diese Komponenten auch für Phase zwei des Exekutivbefehls aussparen, „fühle ich mich ziemlich sicher, dass sie in Phase zwei enthalten sein werden“, sagt Greenwald. Sie ganz auszulassen, würde Bemühungen, Systeme gegen jegliche Art von Cyberbedrohung zu sichern, ernsthaft gefährden.