Quatre jours avant son départ, Joe Biden signe un décret qui impose des attestations de sécurité aux éditeurs fournisseurs de l'État

2025-01-16 · Éditeur : Maison-Blanche (administration Biden) · Domaine : Cybersécurité

Le décret présidentiel 14144 oblige les éditeurs qui vendent à l'administration fédérale à fournir des attestations lisibles par machine, contrôlées par la CISA, et renforce la sécurité du cloud fédéral.

Ce qui change

  • Attestations de développement sécurisé lisibles par machine, avec pièces justificatives, transmises à la CISA.
  • Une attestation qui échoue au contrôle peut être transmise au ministre de la Justice.
  • Authentification résistante à l'hameçonnage et EDR imposés dans le cloud fédéral.
  • Label Cyber Trust Mark pour les objets connectés achetés par l'État.

### Contexte Le 16 janvier 2025, le président **Joe Biden** signe l'Executive Order 14144, *Strengthening and Promoting Innovation in the Nation's Cybersecurity*. Il prolonge le décret 14028 de 2021, adopté après l'attaque SolarWinds, en donnant des moyens de contrôle aux exigences de développement sécurisé. ### Caractéristiques - Le conseil de la réglementation des achats publics (FAR Council) doit rédiger des clauses imposant aux éditeurs des **attestations lisibles par machine** et leurs pièces justificatives, transmises à la **CISA** ; - Le directeur national de la cybersécurité peut transmettre au **ministre de la Justice** les attestations qui échouent au contrôle, ce qui exposerait les éditeurs à des poursuites pour fausse déclaration, selon le cabinet King & Spalding ; - Cloud fédéral : authentification **résistante à l'hameçonnage**, détection et réponse sur les terminaux (EDR), mise à jour des règles **FedRAMP** ; - Chiffrement du DNS, de la messagerie et de la visioconférence, préparation à la **cryptographie post-quantique** ; - Label **U.S. Cyber Trust Mark** pour les objets connectés fournis à l'État et projets pilotes d'IA pour la cyberdéfense des infrastructures critiques. ### Pourquoi c'est important Le décret faisait passer la sécurité logicielle de la déclaration de bonne foi à la preuve vérifiable, avec un risque juridique pour l'éditeur. Il a été amendé en partie par l'administration Trump dès juin 2025, qui a notamment supprimé le dispositif d'attestations contrôlées. ### À retenir Les éditeurs qui vendent aux États-Unis ont commencé à industrialiser SBOM et preuves de conformité au SSDF ; ce travail reste utile pour le Cyber Resilience Act européen. *Image : Maison-Blanche (page 1 du décret), domaine public, via Wikimedia Commons*

Liens

Tags : Décret présidentiel, Supply chain, États-Unis