Selbstverpflichtung: Über 60 Hersteller geloben, "Secure by Design" zu werden
Neben Verbesserungen wie Zweifaktor-Authentifizierung müssen Unterzeichner binnen Jahresfrist auch ihr Software und Patchmanagement verbessern.
Die US-Cybersicherheitsbehörde CISA legt in ihrem Bestreben, die Sicherheitsstandards in unternehmenstauglicher Software zu verbessern, nach: Unter dem Titel "Secure by Design Pledge" hebt sie eine freiwillige Selbstverpflichtung für Hersteller aus der Taufe. Unternehmen, welche die Verpflichtung unterzeichnen, müssen innerhalb einer Zwölfmonatsfrist nach der Unterzeichnung Schritte durchführen, um ihre Produkte diesem Ziel näherzubringen. Eine rechtliche Bindungswirkung besteht jedoch nicht.
Bis dato haben 68 Unternehmen die Selbstverpflichtung abgegeben, darunter Cloud-Branchengrößen wie Amazon Web Services, Cloudflare oder Google. Durch Abwesenheit glänzen derweil Apple und Facebook-Mutterkonzern Meta. Einige weitere der Unterzeichner, wie etwa Microsoft, FortiNet, Cisco und Ivanti, hatten in jüngerer Vergangenheit mit argen Sicherheitsproblemen zu kämpfen und wurden von der CISA mit harschen Worten und Strafmaßnahmen belegt.
Nun darf es nicht bei Lippenbekenntnissen bleiben. Innerhalb eines Jahres nach Unterzeichnung der Verpflichtung ist jedes Unternehmen angehalten, in sieben Bereichen Maßnahmen umzusetzen. Sie sollen:
- Mehr-Faktor-Authentifizierung stärker umsetzen,
- Standardpasswörter wie "admin/password" durch sichere Alternativen ersetzen,
- Anfälligkeit für mindestens eine Klasse von Sicherheitslücken – etwa SQL Injection – in der kompletten Produktpalette senken,
- Eine deutliche Verbesserung bei der Installation von Sicherheitspatches durch Kunden erreichen,
- Eine Regelung zur Veröffentlichung von Sicherheitslücken (Vulnerability disclosure policy, VDP) erarbeiten,
- Veröffentlichte Sicherheitslücken zügig mit einer CVE-ID und relevanten Metadaten ausstatten und
- Das Sammeln von Informationen nach einem Sicherheitsvorfall – etwa durch Logs – erleichtern.
Auf der Projektseite zum "Secure by Design Pledge" führt die CISA Beispielmaßnahmen an, mit denen Unternehmen ihre Sicherheitsbemühungen anschieben können. Sie fordert Unterzeichner zudem auf, ihre Fortschritte öffentlich zu dokumentieren.
Die US-Cybersicherheitsbehörde bietet zum Prinzip "Secure by Design" (etwa: "Sicher ab Entwurf") umfangreiche Handreichungen an, etwa zur Eindämmung von SQL Injections und von Directory-Traversal-Lücken.
(cku)
