L’ordine esecutivo impone agli appaltatori della difesa di mappare le dipendenze da software e fornitori

Il presidente Donald Trump ha firmato un ordine esecutivo che incarica il Dipartimento della Guerra di stabilire nuovi requisiti per identificare e proteggere le catene di approvvigionamento critiche per la difesa. L’ordine sottolinea la protezione dalle interruzioni fisiche, informatiche ed economiche e richiede visibilità su fornitori e subappaltatori a ogni livello.

Il Segretario alla Guerra ha 180 giorni di tempo per sviluppare politiche che impongano agli appaltatori di mappare le catene di approvvigionamento a supporto delle acquisizioni per la sicurezza nazionale. I regolamenti attuativi dovranno essere emanati entro 90 giorni dall’adozione di tali politiche. Sebbene l’ordine sia principalmente volto a rafforzare l’approvvigionamento nazionale di materiali critici, le sue disposizioni potrebbero avere un impatto significativo sulla sicurezza della catena di approvvigionamento del software, sulla gestione dei rischi di terze parti e sui programmi di conformità degli appaltatori.

Più ampia di una SBOM convenzionale

In base alle norme previste, agli appaltatori potrebbe essere richiesto di fornire una “distinta base vincolata” che includa apparecchiature, materiali, software e servizi, tracciando al contempo le dipendenze dai fornitori e l’origine delle materie prime. Questo quadro andrebbe oltre una distinta base del software convenzionale, collegando potenzialmente software e firmware a componenti fisici, produttori, informazioni sulla manutenzione, Paesi di origine e altri dati della catena di approvvigionamento.

La definizione di catena di approvvigionamento critica comprende tutti i livelli di fornitori e subappaltatori coinvolti nella fornitura di beni, sistemi, software o servizi essenziali per l’esecuzione di un contratto, la garanzia della missione, la sicurezza o la resilienza. Di conseguenza, i fornitori di software, i provider cloud e le aziende di servizi gestiti potrebbero rientrare nell’ambito di applicazione anche quando si trovano a diversi livelli di distanza dall’appaltatore principale.

Verifica, segnalazione e mitigazione

Agli appaltatori sarebbe inoltre richiesto di adottare processi scritti per valutare la solidità finanziaria dei fornitori, la proprietà o l’influenza straniera, la capacità produttiva e altri rischi. Le verifiche potrebbero individuare dipendenze da un’unica fonte, concentrazioni di fornitori e capacità produttive insufficienti, mentre i team di cybersecurity potrebbero dover valutare i luoghi di sviluppo, gli accessi amministrativi, le modalità di hosting e i cambiamenti nella proprietà.

• I rischi significativi individuati attraverso il processo di verifica dovrebbero essere segnalati entro 15 giorni.
• Entro 45 giorni dovrebbe essere presentato un piano riservato di azioni correttive, seguito da una relazione di chiusura.
• Agli appaltatori potrebbe essere richiesto di sostituire i fornitori stranieri inaffidabili, pena la sospensione, la perdita delle opzioni contrattuali o la risoluzione del contratto.

L’ordine non definisce ancora cosa costituisca un rischio significativo per la catena di approvvigionamento né stabilisce una scadenza generale per la segnalazione degli incidenti informatici. Si prevede che tali questioni, insieme alle protezioni per le mappe sensibili della catena di approvvigionamento, siano affrontate nei prossimi regolamenti.