Un décret présidentiel ordonne aux sous-traitants de la défense de cartographier les dépendances logicielles et fournisseurs

Le président Donald Trump a signé un décret présidentiel ordonnant au Département de la Guerre d’établir de nouvelles exigences pour identifier et sécuriser les chaînes d’approvisionnement critiques de la défense. Le décret met l’accent sur la protection contre les perturbations physiques, cybernétiques et économiques, et exige une visibilité sur les fournisseurs et sous-traitants à tous les niveaux.

Le secrétaire à la Guerre dispose de 180 jours pour élaborer des politiques obligeant les sous-traitants à cartographier les chaînes d’approvisionnement qui soutiennent les acquisitions liées à la sécurité nationale. Les réglementations d’application devront suivre dans les 90 jours suivant l’adoption de ces politiques. Bien que le décret vise principalement à renforcer l’approvisionnement national en matériaux critiques, ses dispositions pourraient avoir des répercussions importantes sur la sécurité des chaînes d’approvisionnement logicielles, la gestion des risques liés aux tiers et les programmes de conformité des sous-traitants.

Plus large qu’un SBOM classique

Dans le cadre des règles envisagées, les sous-traitants pourraient être tenus de fournir une « nomenclature indentée » couvrant les équipements, les matériaux, les logiciels et les services, tout en retraçant les dépendances jusqu’aux fournisseurs et à l’origine des matières premières. Ce cadre irait au-delà d’une nomenclature logicielle classique en reliant potentiellement les logiciels et les micrologiciels aux composants physiques, aux fabricants, aux informations de maintenance, aux pays d’origine et à d’autres données relatives à la chaîne d’approvisionnement.

La définition d’une chaîne d’approvisionnement critique inclut tous les niveaux de fournisseurs et de sous-traitants participant à la fourniture de biens, de systèmes, de logiciels ou de services essentiels à l’exécution d’un contrat, à la garantie de la mission, à la sécurité ou à la résilience. Par conséquent, les éditeurs de logiciels, les fournisseurs cloud et les entreprises de services managés pourraient entrer dans le champ d’application, même lorsqu’ils se trouvent à plusieurs échelons d’un maître d’œuvre.

Évaluation, signalement et atténuation des risques

Les sous-traitants devraient également mettre en place des processus écrits pour évaluer la santé financière des fournisseurs, leur propriété ou influence étrangère, leurs capacités de fabrication et d’autres risques. Ces examens pourraient permettre d’identifier les dépendances à une source unique, la concentration des fournisseurs et une capacité de production insuffisante, tandis que les équipes de cybersécurité pourraient devoir évaluer les lieux de développement, les accès administratifs, les modalités d’hébergement et les changements de propriété.

• Les risques importants identifiés au cours du processus d’évaluation devraient être signalés dans un délai de 15 jours.
• Un plan confidentiel de mesures correctives devrait être remis dans un délai de 45 jours, suivi d’un rapport de clôture.
• Les sous-traitants pourraient être tenus de remplacer les fournisseurs étrangers peu fiables, sous peine de suspension, de perte des options contractuelles ou de résiliation.

Le décret ne définit pas encore ce qu’est un risque important pesant sur la chaîne d’approvisionnement et n’établit pas de délai général pour le signalement des incidents cyber. Ces questions, ainsi que les mesures de protection des cartographies sensibles des chaînes d’approvisionnement, devraient être traitées dans les prochaines réglementations.