Comprendre et respecter le nouveau mandat fédéral en matière de sécurité des logiciels : un guide pratique
Le paysage de la sécurité des logiciels fédéraux subit une transformation importante. En janvier 2025, la Maison Blanche a publié une nouvelle Décret L'objectif est de renforcer la sécurité et la transparence des chaînes d'approvisionnement en logiciels tiers utilisées par les agences fédérales. Ce mandat introduit des changements cruciaux que les fournisseurs de logiciels doivent comprendre et auxquels ils doivent se préparer, en particulier compte tenu du délai strict de mise en conformité.
Le contexte : pourquoi maintenant ?
Ces dernières années ont été témoins d’une série de cyberattaques dévastatrices qui ont exploité les vulnérabilités de chaînes d'approvisionnement de logicielsLa faille de sécurité SolarWinds, l’attaque 3CX, l’exploitation de Codecov et la vulnérabilité Log4Shell ont démontré que les modèles de sécurité traditionnels, centrés sur les défenses du périmètre et la réponse aux incidents après coup, ne suffisent plus. Les attaquants ciblent désormais le cycle de vie du développement logiciel lui-même, en implantant du code malveillant ou en exploitant les vulnérabilités avant que le logiciel n’atteigne ses utilisateurs finaux.
La dépendance croissante à l’égard des composants logiciels tiers et des solutions commerciales a élargi la surface d’attaque potentielle des systèmes gouvernementaux. Cette complexité croissante des chaînes d’approvisionnement en logiciels a créé des besoins urgents en matière de visibilité, de responsabilité et de mesures de sécurité accrues tout au long du processus de développement.
Comprendre les nouvelles exigences
L'EO 2025 s'appuie sur les directives précédentes, notamment l'EO 14028 de 2021, mais introduit plusieurs innovations clés :
- Attestations lisibles par machine. Contrairement aux exigences précédentes qui acceptaient une documentation générale, le nouveau mandat exige des attestations normalisées et lisibles par machine des pratiques de développement de logiciels sécurisés. Celles-ci doivent être automatiquement ingérées et validées par les systèmes fédéraux, ce qui représente un changement important vers la vérification automatisée de la conformité. Les fournisseurs de logiciels doivent démontrer leur conformité avec les cadres de sécurité reconnus comme NIST 800-218 ou OWASP dans un format qui permet un examen automatisé par l'agence.
- Écosystème de preuves intégré. L'EO exige des artefacts de haut niveau comme preuve des déclarations faites dans des attestations lisibles par machine. Cela crée un alignement plus étroit entre les pratiques déclarées et les preuves réelles, obligeant les fournisseurs à conserver une documentation complète de leurs mesures de sécurité. Ces artefacts doivent inclure :
- Résumés lisibles par l'homme des processus de développement sécurisés
- Certificats d'audit ou évaluations indépendantes (notamment pour les logiciels critiques)
- Les références à Nomenclatures logicielles (SBOM)
- Documentation prouvant les sources et les contributeurs de chaque composant du code
- Journaux de vérification des tests de sécurité et des révisions de code
- Visibilité de l'Agence du pouvoir exécutif civil fédéral (FCEB). Les fournisseurs de logiciels doivent tenir à jour une liste des agences FCEB qui utilisent leurs produits et services, y compris les détails des versions. Cela garantit la coordination des rapports de vulnérabilité et des déploiements de correctifs dans les agences fédérales. Tout en maintenant la transparence, les fournisseurs doivent également protéger les informations sensibles relatives aux achats contre toute divulgation non autorisée et mettre en œuvre des méthodes sécurisées pour partager ces informations avec les autorités fédérales autorisées.
- Gestion automatisée des vulnérabilités. Le nouveau mandat fixe des délais serrés pour répondre aux vulnérabilités. Les prestataires doivent :
- Exécutez une analyse de sécurité automatisée continue
- Corriger les vulnérabilités critiques dans des délais accélérés (par exemple, 48 heures)
- Maintenir des chaînes de traçabilité claires pour le code mis à jour
- Fournir une notification en temps quasi réel des problèmes de sécurité aux agences
- Documenter et vérifier tous les correctifs via le système d'attestation
- Mettre en œuvre des outils automatisés de détection des failles de sécurité
Échéancier critique pour la conformité
L'EO établit un calendrier rigoureux auquel les fournisseurs de logiciels doivent se préparer :
- Dans les 60 jours: Le Bureau de la gestion et du budget (OMB), le NIST et le CISA fourniront des conseils complets concernant les formats d'attestation et les exigences minimales
- D'ici 180 jours : Tous les nouveaux achats de logiciels fédéraux doivent inclure des attestations SDLC lisibles par machine, et les fournisseurs existants doivent produire des artefacts de haut niveau et des listes initiales de clients FCEB
- D'ici 365 jours : Les agences doivent éliminer progressivement les logiciels non conformes et des audits par des tiers commenceront
L'impact sur le développement de logiciels
Ce mandat modifie fondamentalement la manière dont les organisations doivent aborder le développement de logiciels destinés à l’usage du gouvernement fédéral. Les équipes de développement devront :
- Intégrer les contrôles et vérifications de sécurité tout au long du pipeline CI/CD
- Mettre en œuvre de nouveaux outils et processus de génération et de gestion des attestations
- Établir des approches systématiques pour le suivi et la vérification des dépendances
- Créer des flux de travail automatisés pour la documentation de conformité
- Développer des capacités de réponse rapide en matière de sécurité et de déploiement de correctifs
Conséquences de la non-conformité
Les enjeux sont importants pour les fournisseurs de logiciels. Le non-respect des règles peut entraîner :
- Suspension ou résiliation immédiate des contrats fédéraux existants
- Disqualification des futurs marchés publics
- Sanctions juridiques et financières potentielles en vertu de la False Claims Act
- Les atteintes à la réputation sont visibles à travers les tableaux de bord de conformité publics
- Perte de confiance de la part des clients du secteur public et du secteur privé
- Un examen plus approfondi des futurs processus d’approvisionnement fédéraux
Se préparer au succès
Pour répondre avec succès à ces exigences, les organisations doivent se concentrer sur :
- Automatiser les contrôles de sécurité et la collecte de preuves tout au long du pipeline de développement
- Mise en œuvre de la signature cryptographique des artefacts de build pour garantir la traçabilité
- Mettre en place un suivi continu de la conformité avec des audits réguliers
- Création de systèmes de divulgation des vulnérabilités et de gestion des correctifs en temps réel
- Développer des processus clairs pour la maintenance des listes de clients FCEB et le suivi des versions
- Développer des capacités permettant de générer des attestations lisibles par machine et des résumés lisibles par l'homme
- Former les équipes de développement aux nouvelles exigences et procédures de sécurité
- Établir des relations avec des auditeurs tiers qualifiés
Vous souhaitez approfondir vos connaissances sur les exigences de conformité et découvrir des solutions pratiques ? Téléchargez notre guide complet papier blanc pour découvrir des informations détaillées sur la manière de répondre au nouveau mandat fédéral en matière de sécurité des logiciels. Le livre blanc comprend des exigences techniques spécifiques, des stratégies de mise en œuvre, des approches d'automatisation de la conformité et des solutions éprouvées pour maintenir une conformité continue tout en améliorant votre posture de sécurité globale.
Ce mandat représente à la fois un défi et une opportunité. Bien que la conformité exige une préparation importante, les organisations qui s’adaptent efficacement renforceront leur posture de sécurité et se positionneront avantageusement sur le marché fédéral. La clé réside dans une compréhension approfondie des exigences et dans la mise en œuvre de solutions complètes et automatisées qui répondent à tous les aspects du mandat tout en maintenant l’efficacité du processus de développement.
Ce contenu vous est proposé par Scribe Security, l'un des principaux fournisseurs de solutions de sécurité de bout en bout pour la chaîne d'approvisionnement logicielle, offrant une sécurité de pointe aux artefacts de code ainsi qu'aux processus de développement et de livraison de code tout au long des chaînes d'approvisionnement logicielles. En savoir plus.
articles similaires
