Publication spéciale NIST 800-218

Ce modèle de cycle de vie de développement logiciel (SDLC) aborde explicitement et en détail la sécurité logicielle. Il est donc généralement nécessaire d'ajouter des pratiques de développement logiciel sécurisées à chaque modèle SDLC pour garantir que le logiciel en cours de développement est bien sécurisé. Ce document recommande le Secure Software Development Framework (SSDF) - un ensemble de pratiques de développement logiciel sécurisé de haut niveau qui peuvent être intégrées à chaque implémentation SDLC. Le respect de ces pratiques devrait aider les producteurs de logiciels à réduire le nombre de vulnérabilités dans les logiciels publiés, à atténuer l'impact potentiel de l'exploitation de vulnérabilités non détectées ou non traitées et à s'attaquer aux causes profondes des vulnérabilités pour éviter qu'elles ne se reproduisent. Étant donné que le cadre fournit un vocabulaire commun pour le développement de logiciels sécurisés, les acheteurs et les consommateurs de logiciels peuvent également l'utiliser pour favoriser les communications avec les fournisseurs dans les processus d'acquisition et d'autres activités de gestion.

Les modules comprennent:

  • Publication spéciale NIST 800-218 Cadre de développement de logiciels sécurisés Préambule
  • Publication spéciale NIST 800-218 Cadre de développement de logiciels sécurisés

NIST 800-218 Conçu pour atteindre

La norme NIST 800-218 est également connue sous le nom de Secure Software Development Framework (SSDF). 

Ce framework est utilisé par les développeurs de logiciels pour créer un produit sécurisé conformément aux directives établies par le National Institute of Standards and Technology. L'accent est mis sur l'intégration de pratiques de sécurité robustes à chaque étape du cycle de développement : planification, déploiement et maintenance. 

La SSDF fournit un ensemble commun de normes permettant de réduire les vulnérabilités de sécurité des logiciels et de remédier aux causes de toute faille future. Ces normes sont appliquées tout au long du processus de développement, notamment lors du codage, des tests d'intégration, des revues, etc.

Avantages de la conformité à la norme NIST 800-218

Les normes NIST 800-218 ont considérablement réduit les vulnérabilités de sécurité et témoignent d'un engagement en faveur d'une meilleure gestion des risques lors de la création de logiciels de qualité. Cette norme de référence applique des pratiques de sécurité de référence à chaque étape du développement logiciel, de l'environnement de production aux tests d'acceptation, en passant par le déploiement automatisé et le processus post-implémentation.

Travailler dans le respect des exigences de conformité NIST 800-218 simplifie le respect des exigences de sécurité strictes des agences gouvernementales et la collaboration avec des secteurs hautement réglementés. Cela constitue à lui seul un avantage concurrentiel. Le respect de ces normes de sécurité renforce également la confiance des utilisateurs.

QFP

Cela commence par des contrôles de gestion établissant des procédures claires pour un développement sécurisé, y compris toute formation au codage sécurisé. Des mesures doivent être mises en place pour protéger tous les composants logiciels et le code source, et pour limiter l'accès à cet environnement contrôlé. Les processus d'identification (et de correction) des vulnérabilités doivent être documentés, ainsi que les rapports d'incident.

Toute entreprise qui développe et vend des logiciels à l'ensemble du gouvernement américain, qu'il soit fédéral, étatique ou local, doit se conformer à la norme NIST 800-218. Si vous n'êtes pas encore en conformité, l'application de ces normes de sécurité peut vous offrir de nouvelles opportunités.

ISO 27001 Il s'agit d'une norme internationale volontaire de gestion de la sécurité de l'information. Plus flexible, elle permet aux organisations de s'adapter à leurs situations spécifiques. La conformité à la norme NIST SP 800 est obligatoire pour tous les contrôles de sécurité et de confidentialité impliquant des informations gouvernementales américaines.

Le cycle de vie du développement logiciel (SDLC) de la norme NIST 800-218 ne comporte aucune phase définie ; le processus privilégie une approche « sécurisée dès la conception », mettant en œuvre des mesures de sécurité dès la conception, la mise en œuvre, les tests et la maintenance. Il s'agit d'une approche proactive qui considère la sécurité comme un élément clé du cycle de vie, et non comme une considération secondaire. 

Ils commencent par préparer l'organisation aux politiques et procédures nécessaires à un processus de développement sécurisé. Le logiciel doit être protégé à chaque étape, l'objectif étant de produire un logiciel bien sécurisé. Enfin, un contrôle clé consiste à réagir aux vulnérabilités. Différents contrôles doivent être mis en œuvre pour prévenir toute intervention malveillante.

Qu'attendez-vous?

Vous n’êtes qu’à une conversation de mettre la puissance de Continuum GRC à votre service. 

Contactez-nous en utilisant le formulaire ci-dessous ou en nous appelant au 1-888-896-6207 pour une assistance immédiate.

Téléchargez notre brochure d'entreprise.

À propos de la norme

La publication spéciale (SP) 800-218 du NIST, connue sous le nom de Secure Software Development Framework (SSDF) version 1.1, fournit un ensemble de bonnes pratiques de haut niveau pour intégrer la sécurité au cycle de vie du développement logiciel (SDLC) afin de réduire les vulnérabilités et d'atténuer les risques liés aux logiciels. Publiée en février 2022, suite au décret 14028, elle vise à améliorer la sécurité de la chaîne d'approvisionnement logicielle, notamment pour les agences fédérales et leurs sous-traitants. Ses pratiques sont toutefois largement applicables. Vous trouverez ci-dessous un aperçu de la conformité de la norme SP 800-218 du NIST, structurée autour de ses quatre principaux domaines de pratique, de ses exigences clés et des étapes de sa mise en œuvre, avec un aperçu de son importance et de ses défis.

Domaines de pratique principaux et exigences clés

La norme NIST SP 800-218 organise ses recommandations en quatre domaines de pratique, chacun comportant des tâches spécifiques pour garantir un développement logiciel sécurisé. Il ne s'agit pas d'obligations de conformité strictes, mais de lignes directrices à adapter au cycle de vie du développement logiciel (SDLC) d'une organisation.

  1. Préparer l'organisation (PO)
    Ce domaine se concentre sur l’établissement de la préparation organisationnelle au développement de logiciels sécurisés.

    • Principales tâches:
      • PO.1: Définir et documenter les exigences de sécurité pour les processus de développement de logiciels et les logiciels développés par l'organisation, en garantissant l'alignement avec les réglementations et les niveaux de risque.
      • PO.2: Attribuer des rôles et des responsabilités pour un développement sécurisé, y compris une formation basée sur les rôles (par exemple, à l'aide d'outils tels que Checkmarx CodeBashing).
      • PO.3: Implémentez des chaînes d’outils sécurisées, en spécifiant des outils tels que les tests de sécurité des applications statiques (SAST) et en garantissant leur configuration sécurisée.
      • PO.4: Définissez des critères pour les contrôles de sécurité et suivez-les tout au long du SDLC.
      • PO.5: Maintenez des environnements de développement sécurisés avec des contrôles d’accès, une authentification multifacteur (MFA) et des principes de confiance zéro.
    • Aperçu de la conformitéLes organisations doivent formaliser leurs politiques de sécurité, former leur personnel et sécuriser leur infrastructure de développement. Un défi majeur consiste à exiger des fournisseurs tiers qu'ils fournissent des données de provenance (PO.1.3), car ces mécanismes ne sont pas encore répandus.
  2. Protéger le logiciel (PS)
    Il s’agit de protéger les composants logiciels contre toute altération et tout accès non autorisé.

    • Principales tâches:
      • PS.1: Stockez tout le code (source, exécutable, configuration en tant que code) avec des contrôles d'accès à privilèges minimum et un cryptage pour empêcher les modifications non autorisées.
      • PS.2:Fournir des mécanismes permettant de vérifier l'intégrité des versions de logiciels, tels que des signatures cryptographiques ou des hachages, souvent inclus dans la nomenclature des logiciels (SBOM).
      • PS.3: Archivez les versions de logiciels en toute sécurité, en conservant les données de provenance et en garantissant l'immuabilité des artefacts de version.
    • Aperçu de la conformitéIl est essentiel de privilégier la signature cryptographique (par exemple, à l'aide d'outils comme Sigstore) et la génération de SBOM (prise en charge par des plateformes comme Sonatype). La mise en œuvre d'une signature robuste des validations et des artefacts constitue un défi, car les systèmes actuels d'infrastructure à clés publiques (PKI) peuvent être complexes et coûteux.
  3. Produire des logiciels bien sécurisés (PW)
    Ce domaine met l’accent sur la conception et la création de logiciels présentant un minimum de vulnérabilités.

    • Principales tâches:
      • PW.1:Utilisez la modélisation des risques (par exemple, la modélisation des menaces) pour concevoir des logiciels qui répondent aux exigences de sécurité.
      • PW.2:Effectuer des revues de conception par des parties indépendantes ou des outils automatisés pour vérifier la conformité aux exigences de sécurité.
      • PW.4: Réutilisez des composants existants bien sécurisés (par exemple, des bibliothèques, des frameworks) au lieu d'implémentations personnalisées.
      • PW.7:Utilisez des outils automatisés comme SAST pour détecter les vulnérabilités dès le début du développement.
      • PW.8: Testez en continu les logiciels pour détecter les faiblesses de sécurité à l'aide d'outils tels que SAST et Dynamic Application Security Testing (DAST).
    • Aperçu de la conformitéLes outils automatisés (par exemple, Qwiet, Checkmarx) sont essentiels à la détection précoce des vulnérabilités, et la conception sécurisée par défaut (PW.9) est une priorité. L'un des défis consiste à maintenir des inventaires précis des ressources, notamment pour le suivi des versions des compilateurs et de leurs vulnérabilités.
  4. Répondre aux vulnérabilités (RV)
    Cela se concentre sur la gestion et la réponse aux vulnérabilités après la publication.

    • Principales tâches:
      • RV.1:Établir des processus pour identifier et corriger les vulnérabilités après la publication, y compris la surveillance proactive des bases de données de vulnérabilités.
      • RV.3:Maintenir un programme de divulgation des vulnérabilités pour gérer les problèmes signalés de manière transparente et efficace.
    • Aperçu de la conformitéUne surveillance continue et un programme de divulgation formel sont essentiels. La mise en place d'un programme de réponse robuste est exigeante en ressources et complexe, en particulier pour les petites organisations.

Importance de la conformité à la norme NIST SP 800-218

  • Amélioration de la sécurité:L’intégration de la sécurité dans chaque phase du SDLC réduit les vulnérabilités, atténue les risques d’exploitation et s’attaque aux causes profondes pour éviter toute récidive.
  • Exigences réglementaires et contractuelles:La conformité est souvent obligatoire pour les agences fédérales et les sous-traitants en vertu du décret 14028, les fournisseurs étant tenus d'attester de leur conformité au SSDF via le formulaire d'attestation de développement logiciel sécurisé de la CISA. Elle est également précieuse pour les secteurs réglementés comme la finance, la santé et les infrastructures critiques (par exemple, l'énergie, les transports) qui souhaitent se conformer à des normes telles que la loi HIPAA ou le RGPD.
  • Avantage concurrentiel: Démontrer la conformité renforce la confiance des clients et des partenaires, en particulier dans les secteurs à haute sécurité, améliorant ainsi la commercialisation.
  • Réduction de risque:Les pratiques de sécurité proactives réduisent la probabilité de violations, protégeant ainsi les données sensibles et les systèmes critiques.

Étapes pour atteindre la conformité

  1. Analyse des écarts:Évaluer les pratiques actuelles par rapport à la norme NIST SP 800-218 pour identifier les lacunes dans les exigences, les outils ou les processus de sécurité.
  2. Intégration d'outil: Adoptez des outils comme SAST (par exemple, Checkmarx, Qwiet) et DAST pour la détection des vulnérabilités, et des plateformes comme Sonatype pour la génération SBOM et la gestion des composants.
  3. Contrôle continu: Mettre en œuvre une surveillance automatisée pour détecter les nouvelles vulnérabilités et assurer le respect continu des politiques de sécurité.
  4. Documentation et rapports:Conservez des enregistrements détaillés des exigences de sécurité, de l’utilisation des outils et des décisions pour soutenir les audits et la transparence.
  5. Formation et rôles:Fournir une formation basée sur les rôles et définir clairement les responsabilités pour garantir que tous les membres de l'équipe comprennent les pratiques de développement sécurisées.
  6. Gestion de tiers: Définissez des normes de sécurité pour les logiciels tiers et vérifiez la conformité via des données de provenance et des SBOM.

Les défis de la conformité

  • Subjectivité dans la mise en œuvreLa norme NIST SP 800-218 fournit des principes, et non des exigences mesurables, ce qui complique la vérification de la conformité. Le gouvernement américain est encore en train de clarifier les modalités de validation des attestations des fournisseurs.
  • Intensité des ressources:La mise en place de processus tels que des programmes de divulgation des vulnérabilités ou le maintien d’environnements sécurisés nécessite des ressources importantes, ce qui peut mettre à rude épreuve les petites organisations.
  • Conformité des tiers:Exiger des données de provenance auprès de fournisseurs tiers est un défi en raison de l’adoption limitée de telles pratiques.
  • Complexité de la chaîne d'outils:L’intégration et la sécurisation des chaînes d’outils, notamment pour la signature et la vérification, peuvent être techniquement complexes et coûteuses.

À qui cela s'applique-t-il ?

  • Agences fédérales et entrepreneurs:Obligatoire pour les agences gouvernementales américaines et les fournisseurs de logiciels, conformément au décret exécutif 14028.
  • Industries réglementées:Les secteurs de la finance, de la santé et des infrastructures critiques bénéficient de l’alignement sur le SSDF pour répondre aux exigences réglementaires.
  • Fournisseurs de logiciels et équipes internes:Toute organisation développant ou gérant des logiciels, y compris les startups, les entreprises et les fournisseurs de services gérés, peut utiliser SSDF pour améliorer la sécurité.
  • Organisations utilisant des logiciels tiers:Les entreprises qui s’appuient sur des solutions tierces peuvent utiliser SSDF pour définir les normes de sécurité des fournisseurs.

Outils et support pour la conformité

  • Checkmarx: Prend en charge des tâches telles que la formation (PO.2.2), les contrôles de sécurité (PO.4) et la détection des vulnérabilités (PW.7, PW.8) via ses moteurs d'analyse et sa plate-forme CodeBashing.
  • Sonatype:Aide à la génération de SBOM (PS.3.2), à la sécurité des composants (PW.4) et à la gestion sécurisée des référentiels (PS.1).
  • Qwiet:Aide à la détection des vulnérabilités et à la cartographie des exigences SSDF à l'aide des outils SAST et DAST.
  • Alliance Lazare: Propose des évaluations de maturité et des examens de l'architecture de sécurité pour s'aligner sur SSDF.

Perspective critique

Bien que la norme NIST SP 800-218 soit un cadre robuste, son caractère non prescriptif peut entraîner une mise en œuvre incohérente. Le recours à l'auto-attestation des fournisseurs soulève des inquiétudes quant à la responsabilité, le gouvernement n'ayant pas encore défini de méthodes de vérification claires. De plus, l'accent mis par le cadre sur la conformité fédérale risque de submerger les petites organisations aux ressources limitées. Les critiques affirment que, sans indicateurs standardisés ni application rigoureuse, certains fournisseurs pourraient prétendre à la conformité sans une rigueur suffisante.

Conclusion

La norme NIST SP 800-218 offre un cadre flexible et fondé sur des principes pour intégrer la sécurité au développement logiciel, en se concentrant sur la préparation, la protection, la production et la réponse aux vulnérabilités. La conformité renforce la sécurité, répond aux exigences réglementaires et instaure la confiance, mais nécessite une planification rigoureuse, l'intégration des outils et une surveillance continue. Les organisations devraient tirer parti des outils automatisés, effectuer des analyses des écarts et prioriser la formation pour s'aligner sur le SSDF, tout en étant conscient des défis tels que la vérification subjective de la conformité et les demandes de ressources.

Des avantages incroyables

Vignette YouTubeYouTube icône