Die US-Cybersicherheitsbehörde CISA führte am 11. Mai 2024 insgesamt 68 Unterzeichner ihres Secure by Design Pledge. Zu den Unternehmen gehörten unter anderem Amazon Web Services, Cloudflare, Google, Cisco, Fortinet, Ivanti und Microsoft. Apple und Meta standen zu diesem Zeitpunkt nicht auf der Liste.
Die offizielle Pledge-Seite der CISA beschreibt sieben Ziele für Hersteller von Unternehmenssoftware, Cloud-Diensten und Software as a Service. Dazu gehören Mehr-Faktor-Authentifizierung, der Abbau von Standardpasswörtern, weniger Schwachstellen einer ausgewählten Klasse, höhere Patch-Raten, eine veröffentlichte Richtlinie zur Meldung von Schwachstellen, vollständigere CVE-Daten und bessere Protokolle für die Analyse von Sicherheitsvorfällen.
Freiwillige Ziele für Softwarehersteller
Die Selbstverpflichtung ist freiwillig und rechtlich nicht bindend. CISA kontrolliert die Einhaltung nicht durch Sanktionen oder eine unabhängige Zertifizierung. Unterzeichner sollen innerhalb eines Jahres messbare Fortschritte dokumentieren oder gegenüber CISA offenlegen, welche Maßnahmen sie umgesetzt haben. Die Behörde stellt damit konkrete Prüfpunkte bereit, ohne aus dem Pledge eine gesetzliche Vorgabe zu machen.
Sicherheitsprozesse in Entwicklungsumgebungen
Für Spieleplattformen, Cloud-Dienste, Build-Systeme und Entwicklungswerkzeuge betreffen die Ziele alltägliche Abläufe: sichere Anmeldungen, Patch-Verteilung, verwertbare CVE-Daten und Protokolle für die Untersuchung von Angriffen. Gerade bei Diensten, die von vielen Studios und Teams gemeinsam genutzt werden, lassen sich solche Vorgaben direkt in die Produktplanung und den Betrieb übernehmen.