Aman dengan Ikrar Desain | CISA

ringkasan

Ini adalah janji sukarela yang berfokus pada produk dan layanan perangkat lunak perusahaan, termasuk perangkat lunak lokal, layanan cloud, dan perangkat lunak sebagai layanan (SaaS). Janji tersebut tidak mencakup produk fisik seperti perangkat IoT dan produk konsumen, meskipun perusahaan yang ingin menunjukkan kemajuan di bidang ini dipersilakan untuk melakukannya.

Dengan berpartisipasi dalam janji ini, produsen perangkat lunak berjanji untuk melakukan upaya itikad baik untuk mencapai tujuan yang tercantum di bawah ini pada tahun berikutnya. Jika produsen perangkat lunak mampu membuat kemajuan nyata dalam mencapai tujuan, maka produsen harus mendokumentasikan secara publik bagaimana mereka mencapai kemajuan tersebut dalam waktu satu tahun sejak penandatanganan perjanjian. Ketika produsen perangkat lunak tidak mampu membuat kemajuan nyata, produsen tersebut didorong, dalam waktu satu tahun setelah penandatanganan janji, untuk berbagi dengan CISA bagaimana produsen tersebut berupaya mencapai tujuan dan tantangan apa pun yang dihadapinya. Dalam semangat transparansi yang radikal, produsen didorong untuk mendokumentasikan pendekatannya secara publik sehingga orang lain dapat belajar. Janji ini bersifat sukarela dan tidak mengikat secara hukum.

Janji tersebut disusun dengan tujuh tujuan. Setiap tujuan berisi tolok ukur utama yang ingin dicapai oleh produsen, serta konteks dan contoh untuk mencapai tujuan dan menunjukkan kemajuan yang terukur. Untuk memungkinkan beragam pendekatan, produsen perangkat lunak yang berpartisipasi dalam Pledge memiliki keleluasaan untuk menentukan cara terbaik untuk memenuhi dan mendemonstrasikan kriteria inti untuk setiap tujuan. Menampilkan kemajuan yang terukur di seluruh produk produsen dapat dilakukan dalam berbagai bentuk – seperti mengambil tindakan terhadap semua produk produsen, atau dengan memilih sekelompok produk untuk ditangani terlebih dahulu dan menerbitkan peta jalan untuk produk lainnya.

CISA mengakui dan memuji produsen perangkat lunak yang telah mencapai atau melampaui tujuan-tujuan ini. Dalam kasus seperti ini, ketika produsen perangkat lunak benar-benar memenuhi atau melampaui target, produsen tersebut harus menjelaskan kepada publik bagaimana cara mereka mencapai target tersebut. Dalam kasus ini, CISA menyambut baik upaya tambahan untuk melampaui tujuan yang dijanjikan.

Janji ini berupaya untuk melengkapi dan mengembangkan praktik terbaik keamanan perangkat lunak yang sudah ada, termasuk yang dikembangkan oleh CISA, NIST, lembaga federal lainnya, serta praktik terbaik internasional dan industri. CISA terus mendukung penerapan langkah-langkah pelengkap yang meningkatkan Secure by Design.