Orden Ejecutiva 14028 y Certificación de Software Seguro de CISA: Lo que los productores de software deben saber.

La certificación de software seguro es un requisito, establecido en la Orden Ejecutiva 14028, que exige que los productores de software utilizado por el gobierno federal de EE. UU. certifiquen formalmente que siguen las prácticas de desarrollo seguro del Marco de Desarrollo de Software Seguro (SSDF) del NIST. Los productores de software se autocertifican mediante el Formulario de Certificación de Desarrollo de Software Seguro de CISA. La firma de código sólida y las pruebas de inventario criptográfico respaldan dichas certificaciones.

La certificación de software seguro es el mecanismo del gobierno estadounidense para garantizar que el software que adquiere se haya desarrollado de forma segura. Esta certificación, derivada de la Orden Ejecutiva 14028, exige a los productores de software que venden a agencias federales que certifiquen formalmente que siguen prácticas de desarrollo seguro basadas en el Marco de Desarrollo de Software Seguro (SSDF) del NIST , mediante un formulario estándar de CISA. Las buenas prácticas de firma de código e inventario proporcionan la evidencia que respalda dicha certificación.

Puntos Clave

• La Orden Ejecutiva 14028 (mayo de 2021) estableció requisitos federales de seguridad para la cadena de suministro de software, incluidas las certificaciones de seguridad del software.
• Los productores de software que venden al gobierno de EE. UU. deben certificar que siguen las prácticas de desarrollo seguro del NIST SSDF (NIST SP 800-218), utilizando el formulario de certificación de desarrollo de software seguro de CISA.
• El formulario debe estar firmado por el director ejecutivo o una persona designada autorizada por la empresa; un evaluador externo de FedRAMP (3PAO) es una alternativa a la autodeclaración.
• La política ha cambiado: una orden ejecutiva de junio de 2025 revocó los requisitos mejorados de validación y documentación añadidos a principios de 2025, volviendo al régimen básico de autodeclaración. Los requisitos exactos siguen evolucionando.
• La firma de código robusta (claves seguras, compilaciones firmadas, procedencia) y el inventario criptográfico y de componentes son pruebas prácticas que respaldan estas certificaciones.

¿Qué es la certificación segura de software?

La certificación de seguridad del software es una declaración formal, emitida por un productor de software, que certifica que su software se desarrolló siguiendo prácticas de desarrollo seguro reconocidas. El objetivo es proteger la cadena de suministro de software: tras ataques de gran repercusión en la cadena de suministro, el gobierno estadounidense exigió que todo el software que utiliza se desarrolle en un entorno seguro, con controles que reduzcan el riesgo de manipulación o vulnerabilidades ocultas. En lugar de inspeccionar directamente el proceso de cada proveedor, el gobierno exige que estos certifiquen, de forma oficial y con la debida responsabilidad ejecutiva, que cumplen con un conjunto mínimo de prácticas de seguridad definidas.

Orden Ejecutiva 14028: Su Origen

En mayo de 2021, la Orden Ejecutiva 14028, "Mejora de la Ciberseguridad Nacional", puso en marcha un amplio conjunto de iniciativas federales de ciberseguridad, con especial atención a la seguridad de la cadena de suministro de software. Esta orden instruyó al Instituto Nacional de Estándares y Tecnología (NIST) a desarrollar directrices para el desarrollo seguro de software, que se convirtieron en el Marco de Desarrollo Seguro de Software (SSDF), NIST SP 800-218. Asimismo, sentó las bases para exigir a los productores de software que certificaran que seguían dichas prácticas. Posteriormente, la Oficina de Administración y Presupuesto (OMB) emitió memorandos (M-22-18 y M-23-16) que ordenaban a las agencias federales recopilar estas autocertificaciones de sus proveedores de software.

Formulario de certificación de desarrollo de software seguro de CISA

Para estandarizar la forma en que los proveedores realizan las certificaciones, CISA (junto con OMB) creó el Formulario de Certificación de Desarrollo de Software Seguro, también conocido como Formulario Común. Su versión final se publicó en marzo de 2024, junto con un repositorio para las presentaciones. Puntos clave sobre el formulario:

• Qué cubre: El productor certifica que su software se desarrolla de acuerdo con prácticas de seguridad específicas extraídas del NIST SSDF, que abarcan el entorno de desarrollo, la protección de la integridad del código y la divulgación de vulnerabilidades conocidas.
• Quién firma: El formulario debe estar firmado por el director ejecutivo del productor de software o por una persona autorizada que pueda vincular a la empresa, lo que sitúa la responsabilidad en el nivel ejecutivo.
• Autodeclaración o declaración de terceros: Un productor puede realizar una autocertificación o contratar a una organización evaluadora externa (3PAO) certificada por FedRAMP para confirmar el cumplimiento con el SSDF.
• ¿Qué software está cubierto? Se aplica al software utilizado por las agencias federales, incluido el software de reciente desarrollo, las actualizaciones de versiones principales y el software distribuido mediante actualizaciones continuas (como el SaaS).

El marco de desarrollo de software seguro (SSDF)

El SSDF (NIST SP 800-218) es la base de la certificación. Se trata de un conjunto de prácticas de desarrollo de software seguro agrupadas en cuatro áreas. En términos sencillos:

grupo SSDF	Qué significa
Preparar la organización	Asegúrese de que las personas, los procesos y la tecnología estén preparados para desarrollar software de forma segura.
Proteja el software	Proteja todos los componentes del software contra manipulaciones y accesos no autorizados, incluyendo la salvaguarda de la integridad del código y la firma digital.
Produzca software bien protegido.	Diseñar, construir y probar software para minimizar las vulnerabilidades antes de su lanzamiento.
Responder a las vulnerabilidades	Identificar, divulgar y corregir las vulnerabilidades de forma continua.

Importante: Esta política está en constante evolución.

La certificación de software seguro ha sido un objetivo en constante evolución. La Orden Ejecutiva 14028 (2021) y los memorandos de la OMB siguen vigentes, y el formulario de autocertificación de CISA continúa en uso. En enero de 2025, una nueva orden ejecutiva (EO 14144) buscó fortalecer el régimen, añadiendo certificaciones legibles por máquina, artefactos de respaldo y validación por parte de CISA. En junio de 2025, una orden ejecutiva posterior eliminó esas mejoras, volviendo al enfoque básico de autocertificación sin la capa obligatoria de artefactos y validación. Mientras tanto, se ha estado desarrollando una norma del Reglamento Federal de Adquisiciones (FAR) para formalizar el requisito, y se ha instruido al NIST para que actualice el SSDF.

En resumen: el requisito de certificar el desarrollo seguro sigue vigente y se espera que continúe, pero los mecanismos específicos (artefactos, validación, terminología de FAR) aún se están definiendo. Los productores de software deben implementar las prácticas de seguridad subyacentes, ya que son la base de cada versión de la política. Siempre confirme los requisitos actuales con fuentes oficiales de CISA, OMB y FAR antes de basarse en cualquier detalle específico.

Cómo la firma de código y el inventario criptográfico respaldan la certificación

Un punto crucial que a menudo se pasa por alto: una certificación es una afirmación, y las afirmaciones son más sólidas cuando se pueden respaldar con pruebas. Varias prácticas de SSDF, especialmente las de «Proteger el software», se corresponden directamente con la firma de código y el inventario criptográfico y de componentes. Poder demostrarlo hace que la certificación sea defendible en lugar de una mera aspiración.

• Integridad y procedencia del código: El SSDF exige proteger la integridad del código y verificar que el software no haya sido manipulado. Firmar sus compilaciones y lanzamientos, con claves protegidas en un HSMProporciona una prueba criptográfica de integridad y origen, y el sellado de tiempo confiable mantiene la validez de esas firmas a lo largo del tiempo.
• Protección del proceso de firma: El desarrollo seguro requiere que las claves de firma estén protegidas y que la firma se realice en un entorno controlado y auditable, no en los ordenadores portátiles de los desarrolladores. La firma centralizada y regida por políticas genera los registros de auditoría que lo demuestran.
• Conozca sus componentes: El SSDF y la guía relacionada enfatizan el conocimiento de lo que contiene su software. Una lista de materiales de software (SBOM) y una lista de materiales criptográficos (CBOM) haga un inventario de sus componentes y de la criptografía que utiliza, lo que respalda la divulgación de vulnerabilidades y las expectativas (cada vez más) de preparación para la computación cuántica.
• Evidencia continua: La certificación no es un proceso único. La firma continua, el inventario y el monitoreo generan la evidencia permanente que respalda su certificación a medida que el software cambia.

Cómo ayuda la consultoría de cifrado

La consultoría en cifrado ayuda a los productores de software a convertir los requisitos de desarrollo seguro en prácticas demostrables. CodeSign Secure protege sus claves de firma en un HSM, centraliza y automatiza la firma de código en todos los flujos de compilación con aplicación de políticas y registros de auditoría completos, y aplica un sellado de tiempo confiable, lo que respalda directamente las prácticas de integridad de código del SSDF tras una certificación. CBOM Secure proporciona descubrimiento e inventario criptográfico, lo que le brinda visibilidad sobre la criptografía y los componentes de su software, lo que facilita la gestión de vulnerabilidades, la transparencia de la cadena de suministro y la preparación para la era post-cuántica. Juntos, le brindan la base de evidencia para certificar con confianza. Respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Qué es la Orden Ejecutiva 14028?

La Orden Ejecutiva 14028, «Mejora de la Ciberseguridad Nacional», se emitió en mayo de 2021. Esta orden puso en marcha un amplio conjunto de iniciativas federales de ciberseguridad en Estados Unidos, con especial énfasis en la seguridad de la cadena de suministro de software. Entre otras cosas, instruyó al NIST a crear una guía para el desarrollo seguro de software, que se convirtió en el Marco de Desarrollo Seguro de Software (SSDF, NIST SP 800-218), y sentó las bases para exigir a los productores de software utilizado por el gobierno federal que certifiquen que siguen prácticas de desarrollo seguras. Este marco sigue siendo la base de los requisitos federales de certificación de seguridad de software.

¿Qué es el formulario de certificación CISA para el desarrollo de software seguro?

Se trata de un formulario estandarizado, a veces denominado Formulario Común, que los productores de software utilizado por las agencias federales de EE. UU. emplean para certificar que siguen las prácticas de desarrollo seguro del NIST SSDF. CISA publicó la versión final en marzo de 2024, junto con un repositorio para las presentaciones. El formulario debe estar firmado por el director ejecutivo del productor o una persona autorizada, lo que sitúa la responsabilidad en la alta dirección. Como alternativa a la autocertificación, un productor puede recurrir a un evaluador externo certificado por FedRAMP (3PAO) para confirmar el cumplimiento del SSDF.

¿Quién debe cumplir con la certificación de seguridad del software?

Este requisito se aplica a los productores de software utilizado por las agencias federales de EE. UU. Abarca el software de reciente desarrollo, las actualizaciones importantes de versiones existentes y el software distribuido mediante actualizaciones continuas, como el software como servicio (SaaS). Si una empresa vende software al gobierno federal, o planea hacerlo, la certificación es, en la práctica, una condición para operar, ya que las agencias deben obtenerla para utilizar el software. Incluso las organizaciones que no venden al gobierno suelen adoptar las mismas prácticas, puesto que reflejan expectativas de seguridad en la cadena de suministro de software ampliamente reconocidas.

¿Seguirá siendo necesaria la certificación de seguridad del software en 2026?

El requisito fundamental de certificar el desarrollo seguro, establecido en la Orden Ejecutiva 14028 y los memorandos de la Oficina de Administración y Presupuesto (OMB), se mantiene vigente, y el formulario CISA sigue utilizándose. Sin embargo, los detalles han cambiado: una orden ejecutiva de enero de 2025 añadió requisitos mejorados (certificaciones legibles por máquina, artefactos y validación CISA), y una orden ejecutiva de junio de 2025 eliminó dichas mejoras, volviendo al enfoque básico de autocertificación. Aún está pendiente una norma FAR formal. Dado que los mecanismos siguen evolucionando, siempre confirme los requisitos actuales con las fuentes oficiales de CISA, la OMB y FAR.

¿Qué es el SSDF?

El Marco de Desarrollo de Software Seguro (SSDF, por sus siglas en inglés), publicado por el NIST como SP 800-218, es un conjunto de prácticas recomendadas para el desarrollo seguro de software. Se organiza en cuatro grupos: preparación de la organización, protección del software, producción de software seguro y respuesta a las vulnerabilidades. El SSDF es la base del requisito federal de certificación; cuando un productor certifica, certifica que sigue las prácticas derivadas del SSDF. El NIST actualiza periódicamente el marco, por lo que los productores deben mantenerse al tanto de la versión actual.

¿Cómo contribuye la firma de código a la certificación segura del software?

La firma de código proporciona evidencia concreta para varias prácticas de SSDF, en particular las relacionadas con la protección de la integridad del software. Firmar compilaciones y versiones con claves protegidas en un HSM ofrece una prueba criptográfica de que el software es auténtico y no ha sido alterado, y el sellado de tiempo confiable mantiene la validez de esas firmas a lo largo del tiempo. La firma centralizada, regida por políticas y con registros de auditoría, también demuestra que la firma se realiza en un entorno controlado, en lugar de en las máquinas de los desarrolladores individuales. Combinado con una lista de materiales de software y criptográficos, esto transforma una mera afirmación en una declaración defendible y respaldada por evidencia.

Reúna las pruebas que respalden su declaración.

La certificación segura de software se basa en prácticas que se pueden demostrar. Descubra CodeSign Secure y CBOM Secure de Encryption Consulting para proteger sus firmas, salvaguardar sus claves e inventariar su criptografía y componentes, de modo que pueda certificar un desarrollo seguro con pruebas que lo respalden.