Definición de software crítico: Explicación de la orden ejecutiva de ciberseguridad de Biden

Por dirección del presidente Biden, el Instituto Nacional de Estándares y Tecnología emitió recientemente una definición actualizada de lo que constituye componentes de software "críticos" que se encuentran comúnmente dentro de las cadenas de suministro. Pero según un experto en ciberseguridad, el lenguaje revela una omisión curiosa.

Exclusión de software embebido y firmware

Al proponer qué aspectos de la tecnología de ciberseguridad deberían incluirse en la fase de implementación inicial de la orden ejecutiva de la Administración para revisar y asegurar las cadenas de suministro críticas de la nación, NIST excluye componentes de software embebido y firmware, señala Eric Greenwald, consejero general de Finite State, un proveedor de sistemas de seguridad de dispositivos conectados.

Reconociendo que tales componentes son a menudo "críticos" para asegurar sistemas de TI, NIST sin embargo sugiere que son demasiado complejos por naturaleza para ser incluidos en la fase temprana de implementación de los esfuerzos de la Administración.

NIST dice que coordinó su definición con aportes de numerosas otras agencias, incluyendo la Agencia de Ciberseguridad e Infraestructura (CISA), Oficina de Gestión y Presupuesto, Oficina del Director de Inteligencia Nacional, y Agencia de Seguridad Nacional. CISA, parte del Departamento de Seguridad Nacional, se basará en los hallazgos de NIST para idear su propia lista de categorías de software que caen bajo el alcance de la primera fase de la revisión.

La afirmación de NIST de que el software embebido y el firmware —los controles básicos de bajo nivel para el hardware del dispositivo— son demasiado complejos para ser abordados inmediatamente se encuentra en una respuesta a "preguntas frecuentes". Pero Greenwald dice que está perplejo por la breve declaración.

"No sé a qué se refieren con eso", dice, argumentando que la definición de NIST podría tener el efecto de excluir elementos verdaderamente críticos como firewalls "simplemente porque están en dispositivos en lugar de basados en la nube".

Greenwald reconoce que NIST podría preferir no incluir inicialmente software que está embebido en un chipset en un dispositivo. "Pero cuando hablas de un sistema operativo, o software de capa de aplicación, no tiene sentido para mí que excluyas eso como categoría. Es difícil entender cómo podrían estar trazando una distinción significativa entre software de dispositivo en oposición a firmware".

"Complejidad" no es justificación para la distinción, dice. "Argumentaría que cuanto más complejo es, más importante tener estándares de seguridad elevados aplicados a ello".

Una posible motivación para que NIST trace la línea en el software embebido y firmware es un deseo de "no morder más de lo que pueden masticar" en la fase de implementación inicial de la orden ejecutiva, reconoce Greenwald. Al sobrepasar en su definición de lo que constituye software crítico, la agencia arriesgaría disuadir a empresas tecnológicas privadas de participar en la contratación federal. Aun así, dice, esa no es una razón legítima para excluir esa clase de software de la acción temprana.

Implicaciones para la confianza y la contratación

La distinción puede parecer académica para algunos, pero va al corazón de qué proveedores de tecnología pueden confiarse para suministrar sistemas clave de seguridad tanto al gobierno como al sector privado. El Departamento de Defensa recientemente endureció sus propios estándares para la contratación, con la emisión de su Certificación de Modelo de Madurez de Ciberseguridad. CMMC dicta que los contratistas elegibles obtengan certificaciones de terceros para vender su software al DOD.

Greenwald ve la posibilidad de instituir un régimen que instantáneamente incluya a cientos de miles de contratistas en una iniciativa de cumplimiento rigurosa. "Hay preguntas sobre quién exactamente se supone que está sujeto a estos", dice. "La falta de claridad es el diablo".

Pero la falta de claridad es también la preocupación de Greenwald cuando se trata de la aparente desestimación de NIST del software embebido y firmware como elementos críticos que requieren atención inmediata por la nueva fuerza de trabajo de Biden sobre disrupciones en la cadena de suministro. Tiene esperanzas de que la agencia pronto aclare su intención, o que CISA elija incluir la categoría en disputa en su lista definitiva de software aplicable.

Aun así, si ambas agencias continúan pasando por alto esos componentes para la fase uno de la orden ejecutiva, "me siento bastante seguro de que serán incluidos en la fase dos", dice Greenwald. Omitirlos por completo pondría en grave peligro los esfuerzos para asegurar sistemas contra cualquier tipo de amenaza cibernética.