定义关键软件：解读拜登网络安全行政令
应拜登总统指示，美国国家标准与技术研究院（NIST）近期发布供应链常见“关键”软件组件的更新定义。但据一网络安全专家，措辞中透露出一个奇怪的遗漏。
在提议政府行政令初始实施阶段应纳入哪些网络安全技术方面以审查和保障国家关键供应链时，NIST排除了嵌入式软件和固件组件，Finite State（连接设备安全系统提供商）总法律顾问Eric Greenwald指出。
NIST虽承认此类组件对保障IT系统往往“关键”，却建议因其本质过于复杂，不宜纳入政府工作的早期实施阶段。
NIST称其定义协调了网络安全与基础设施安全局（CISA）、管理和预算办公室、国家情报总监办公室、国家安全局等多机构意见。CISA隶属国土安全部，将基于NIST发现制定首阶段审查范围内的软件类别清单。
NIST在“常见问题解答”中称嵌入式软件和固件——设备硬件的基础底层控制——太复杂不宜立即纳入。但Greenwald对这简短陈述感到困惑。
“我不懂他们何意，”他说，认为NIST定义可能导致真正关键元素（如防火墙）“仅因部署在设备而非云端”被排除。
Greenwald理解NIST可能倾向不将嵌入芯片组的设备软件初期纳入。“但谈论操作系统或应用层软件时，将其作为类别排除对我讲不通。很难理解他们如何在设备软件和固件间划出有意义界限。”
“复杂性”非区分正当理由，他说。“我反而认为越复杂，越应应用更高安全标准。”
NIST在嵌入式软件和固件划线的可能动机，是“不想初期啃下超出咀嚼能力的东西”，Greenwald承认。若过度扩大关键软件定义，机构恐劝退私营科技公司参与联邦采购。但他坚称，这非合理理由排除该类软件于早期行动之外。
此区分对某些人似学术，实关乎哪些技术提供商可被信任向政府和私营部门供应关键安全系统。国防部最近收紧采购标准，发布网络安全成熟度模型认证（CMMC）。CMMC规定合格承包商须获第三方认证才能向国防部销售软件。
Greenwald看到可能建立瞬间将数十万承包商纳入严格合规体制的机制。“关于究竟谁应受约束存在疑问，”他说。“缺乏清晰度是魔鬼。”
但缺乏清晰度也是Greenwald对NIST明显将嵌入式软件和固件排除在拜登新任命的供应链中断特别工作组需立即关注的关键要素之外的担忧。他期盼机构尽快澄清意图，或CISA选择将争议类别纳入其最终适用软件清单。
即便如此，若两机构在行政令第一阶段继续跳过这些组件，“我相当确信它们将在第二阶段被纳入，”Greenwald说。彻底排除将严重危及针对任何形式网络威胁的系统安全努力。
工业技术