EO 14028 och CISA Secure Software Attestation: Vad programvaruproducenter behöver veta

Säker programvarucertifiering är ett krav, baserat i Executive Order 14028, att tillverkare av programvara som används av den amerikanska federala regeringen formellt intygar att de följer säkra utvecklingspraxis från NIST Secure Software Development Framework (SSDF). Programvaruproducenter självcertifierar med hjälp av CISA:s Secure Software Development Attestation Form. Starka kodsignerings- och kryptografiska inventeringsbevis hjälper till att backa upp dessa intyg.

Säker programvarucertifiering är den amerikanska regeringens sätt att säkerställa att den programvara de köper har byggts säkert. Order 14028, som härrör från Executive Order 14028, kräver att programvarutillverkare som säljer till federala myndigheter formellt intygar att de följer säkra utvecklingspraxis baserad på NIST Secure Software Development Framework (SSDF), med hjälp av ett standardiserat CISA-formulär. Goda kodsignerings- och inventeringsrutiner utgör bevisen bakom intyget.

Key Takeaways

• Executive Order 14028 (maj 2021) införde federala säkerhetskrav för programvaruleveranskedjan, inklusive säkra programvarucertifieringar.
• Programvaruproducenter som säljer till den amerikanska regeringen måste själva intyga att de följer säkra utvecklingspraxis från NIST SSDF (NIST SP 800-218) med hjälp av CISA:s formulär för intyg om säker programvaruutveckling.
• Formuläret undertecknas av en VD eller en auktoriserad ombudsman från företaget; en tredjepartsbedömare från FedRAMP (3PAO) är ett alternativ till självintyg.
• Policyn har ändrats: en exekutiv order från juni 2025 upphävde de utökade kraven för artefakter och validering som lades till i början av 2025 och återgick till den grundläggande självcertifieringsordningen. De exakta kraven fortsätter att utvecklas.
• Stark kodsignering (säkra nycklar, signerade byggen, proveniens) och kryptografisk och komponentinventering är praktiska bevis som stöder dessa attesteringar.

Vad är säker programvarucertifiering?

Säker programvarucertifiering är ett formellt uttalande från en programvaruproducent om att deras programvara har utvecklats enligt erkända säkra utvecklingspraxis. Målet är att skydda programvaruleveranskedjan: efter uppmärksammade attacker mot leveranskedjorna har den amerikanska regeringen krävt att all programvara som används ska byggas i en säker miljö, med kontroller som minskar risken för manipulation eller dolda sårbarheter. Istället för att inspektera varje leverantörs process direkt kräver regeringen att leverantörer intygar, officiellt och med ansvar för ledningen, att de uppfyller en definierad baslinje för säkra rutiner.

Executive Order 14028: Var det började

I maj 2021 satte Executive Order 14028, Improving the Nation's Cybersecurity, igång en bred uppsättning federala cybersäkerhetsinitiativ, inklusive fokus på säkerhet i leveranskedjor för programvara. Den instruerade National Institute of Standards and Technology (NIST) att utveckla riktlinjer för säker programvaruutveckling, som blev Secure Software Development Framework (SSDF), NIST SP 800-218. Den banade också väg för att kräva att programvaruproducenter intygar att de följer dessa metoder. Office of Management and Budget (OMB) utfärdade sedan memoranda (M-22-18 och M-23-16) som instruerade federala myndigheter att samla in dessa självintyg från sina programvaruleverantörer.

CISA-intygsformuläret för säker programvaruutveckling

För att standardisera hur leverantörer attesterar skapade CISA (tillsammans med OMB) Secure Software Development Attestation Form, ibland kallat Common Form. Dess slutgiltiga version publicerades i mars 2024, tillsammans med ett arkiv för inlämningar. Viktiga punkter om formuläret:

• Vad det omfattar: Producenten intygar att dess programvara är utvecklad i enlighet med specifika säkerhetsrutiner hämtade från NIST SSDF, som täcker utvecklingsmiljön, skyddar kodens integritet och avslöjar kända sårbarheter.
• Vem skriver under: Formuläret måste undertecknas av programvarutillverkarens VD eller en behörig ombudsman som kan binda företaget och placera ansvaret på ledningsnivå.
• Egenintyg eller tredjepartsintyg: En producent kan antingen självintyga eller anlita en certifierad FedRAMP-tredjepartsbedömningsorganisation (3PAO) för att bekräfta överensstämmelse med SSDF.
• Vilken programvara omfattas: Det gäller programvara som används av federala myndigheter, inklusive nyutvecklad programvara, större versionsuppdateringar och programvara som levereras via kontinuerliga uppdateringar (t.ex. SaaS).

Ramverket för säker programvaruutveckling (SSDF)

SSDF (NIST SP 800-218) är kärnan bakom attesteringen. Det är en uppsättning säkra programvaruutvecklingsmetoder grupperade i fyra områden. Enkelt uttryckt:

SSDF-gruppen	Vad det betyder
Förbered organisationen	Se till att människor, processer och teknik är redo att utveckla programvara på ett säkert sätt.
Skydda programvaran	Skydda alla komponenter i programvaran från manipulering och obehörig åtkomst, inklusive att skydda kodens integritet och signering.
Producera välsäker programvara	Designa, bygga och testa programvara för att minimera sårbarheter före lansering.
Reagera på sårbarheter	Identifiera, avslöja och åtgärda sårbarheter kontinuerligt.

Viktigt: Denna policy utvecklas

Säker programvarucertifiering har varit ett rörligt mål. Executive Order 14028 (2021) och OMB-memorandumen är fortfarande i kraft, och CISA:s självcertifieringsformulär används fortfarande. I januari 2025 utfärdades ytterligare en exekutiv order (EO 14144) som syftade till att stärka systemet genom att lägga till maskinläsbara certifieringar, stödjande artefakter och validering av CISA. I juni 2025 tog en efterföljande exekutiv order bort dessa förbättringar och återgick till den grundläggande självcertifieringsmetoden utan det obligatoriska artefakt- och valideringslagret. Samtidigt har en Federal Acquisition Regulation (FAR)-regel för att formalisera kravet pågått, och NIST har fått i uppdrag att uppdatera SSDF.

Den praktiska slutsatsen: kravet att intyga säker utveckling lever och förväntas fortsätta, men de specifika mekanismerna (artefakter, validering, FAR-språk) håller fortfarande på att stabiliseras. Programvarutillverkare bör oavsett bygga de underliggande säkra rutinerna, eftersom det är det som varje version av policyn bygger på. Bekräfta alltid de aktuella kraven med officiella CISA-, OMB- och FAR-källor innan du förlitar dig på någon specifik detalj.

Hur kodsignering och kryptografisk inventering stöder attestering

En avgörande punkt som ofta missas: en attestering är ett påstående, och påståenden är starkare när de kan stödjas med bevis. Flera SSDF-metoder, särskilt de under "Skydda programvaran", kopplas direkt till kodsignering och kryptografisk och komponentinventering. Att kunna demonstrera dessa gör attestering försvarbart snarare än aspirerande:

• Kodens integritet och proveniens: SSDF kräver att man skyddar kodens integritet och verifierar att programvaran inte har manipulerats. Signera dina versioner och utgåvor, med nycklar skyddade i en HSM, tillhandahåller kryptografiskt bevis på integritet och ursprung, och betrodd tidsstämpling håller dessa signaturer giltiga över tid.
• Skydd av signeringsprocessen: Säker utveckling kräver att signeringsnycklar skyddas och att signering sker i en kontrollerad, granskningsbar miljö, inte på utvecklarnas bärbara datorer. Centraliserad, policystyrd signering producerar de granskningsloggar som bevisar detta.
• Att känna till dina komponenter: SSDF och relaterad vägledning betonar vikten av att veta vad som finns i din programvara. En materialförteckning för programvara (SBOM) och en kryptografisk materialförteckning (CBOM) inventera dina komponenter och den kryptografi du använder, vilket stöder avslöjande av sårbarheter och (i allt större utsträckning) förväntningar på kvantberedskap.
• Pågående bevis: Attestering sker inte en gång. Kontinuerlig signering, inventering och övervakning producerar de löpande bevis som stöder din attestering i takt med att programvaran ändras.

Hur krypteringskonsulting hjälper

Krypteringskonsulttjänster hjälper mjukvaruproducenter att omvandla krav på säker utveckling till påvisbar praxis. CodeSign Secure säkrar dina signeringsnycklar i en HSM, centraliserar och automatiserar kodsignering över byggpipelines med policytillämpning och fullständiga revisionsspår, och tillämpar betrodd tidsstämpling, vilket direkt stöder SSDF:s kodintegritetspraxis bakom en attestering. CBOM Secure tillhandahåller kryptografisk upptäckt och inventering, vilket ger dig insyn i kryptografin och komponenterna i din programvara, vilket stöder sårbarhetshantering, transparens i leveranskedjan och beredskap efter kvantum. Tillsammans ger de dig evidensbasen för att attestera med tillförsikt. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

Vad är EO 14028?

Executive Order 14028, "Att förbättra nationens cybersäkerhet", utfärdades i maj 2021. Den satte igång en bred uppsättning amerikanska federala cybersäkerhetsinitiativ, inklusive ett stort fokus på säkerhet i leveranskedjan för programvara. Bland annat instruerade den NIST att skapa riktlinjer för säker programvaruutveckling, som blev Secure Software Development Framework (SSDF, NIST SP 800-218), och banade väg för att kräva att tillverkare av programvara som används av den federala regeringen intygar att de följer säkra utvecklingspraxis. Den är fortfarande grunden för federala krav på attestering av säker programvara.

Vad är CISA:s intygsformulär för säker programvaruutveckling?

Det är ett standardiserat formulär, ibland kallat Common Form, som tillverkare av programvara som används av amerikanska federala myndigheter använder för att intyga att de följer säkra utvecklingspraxis från NIST SSDF. CISA publicerade den slutliga versionen i mars 2024, tillsammans med ett arkiv för inlämningar. Formuläret måste undertecknas av tillverkarens VD eller en behörig ombud, vilket placerar ansvaret på ledningsnivå. Som ett alternativ till självintyg kan en producent använda en certifierad FedRAMP-tredjepartsbedömare (3PAO) för att bekräfta SSDF-överensstämmelse.

Vem måste följa kraven för säker programvarucertifiering?

Kravet gäller tillverkare av programvara som används av amerikanska federala myndigheter. Det omfattar nyutvecklad programvara, större versionsuppdateringar av befintlig programvara och programvara som levereras genom kontinuerliga uppdateringar, såsom programvara som en tjänst. Om ett företag säljer programvara till den federala regeringen, eller planerar att göra det, är intyget i praktiken ett villkor för att bedriva verksamhet, eftersom myndigheter måste erhålla den för att använda programvaran. Även organisationer som inte säljer till regeringen använder ofta samma praxis, eftersom den återspeglar allmänt erkända säkerhetsförväntningar i leveranskedjan för programvara.

Krävs säker programvarucertifiering fortfarande år 2026?

Kärnkravet att intyga säker utveckling, som grundar sig i EO 14028 och OMB-memorandumen, kvarstår, och CISA-formuläret används fortfarande. Detaljerna har dock förändrats: en exekutiv order från januari 2025 lade till utökade krav (maskinläsbara intyg, artefakter och CISA-validering), och en exekutiv order från juni 2025 tog bort dessa förbättringar och återgick till den centrala självintygsmetoden. En formell FAR-regel är fortfarande under utarbetande. Eftersom mekaniken fortsätter att utvecklas, bekräfta alltid aktuella krav med officiella CISA-, OMB- och FAR-källor.

Vad är SSDF?

Secure Software Development Framework (SSDF), publicerat av NIST som SP 800-218, är en uppsättning rekommenderade metoder för säker programvaruutveckling. Den är organiserad i fyra grupper: förbereda organisationen, skydda programvaran, producera välsäker programvara och hantera sårbarheter. SSDF är kärnan bakom det federala attesteringskravet. När en producent attesterar intygar denne att denne följer metoder som härrör från SSDF. NIST uppdaterar regelbundet ramverket, så producenter bör hålla koll på den aktuella versionen.

Hur hjälper kodsignering till med säker programvarucertifiering?

Kodsignering ger konkreta bevis för flera SSDF-metoder, särskilt de som rör skyddande av programvaruintegritet. Att signera byggen och utgåvor med nycklar säkrade i en HSM ger kryptografiskt bevis på att programvaran är autentisk och oförändrad, och betrodd tidsstämpling håller dessa signaturer giltiga över tid. Centraliserad, policystyrd signering med revisionsloggar visar också att signering sker i en kontrollerad miljö snarare än på enskilda utvecklarmaskiner. Kombinerat med en programvaru- och kryptografisk materiallista förvandlar detta en attestering från ett rent påstående till ett försvarbart, evidensbaserat sådant.

Bygg upp bevisen bakom din intygsgivning

Säker programvarucertifiering bygger på metoder som du kan bevisa. Utforska Encryption Consultings CodeSign Secure och CBOM Secure för att säkra din signering, skydda dina nycklar och inventera din kryptografi och komponenter, så att du kan intyga säker utveckling med bevis som stödjer den.