Atestación de desarrollo seguro de software (CISA, 2024)

Resumen

El formulario común, preparado por la CISA con la OMB, sirve a los productores de software para atestiguar ante las agencias federales que sus productos se desarrollan según prácticas de seguridad tomadas del Secure Software Development Framework del NIST (SP 800-218): entornos de desarrollo seguros, control de la procedencia del código y de los componentes de terceros, comprobación automática de vulnerabilidades, gestión y divulgación de vulnerabilidades. Lo exigía el memorando OMB M-22-18 del 14 de septiembre de 2022, modificado por el M-23-16 del 9 de junio de 2023, en aplicación de la orden ejecutiva 14028. Se refiere al software desarrollado, o modificado con una nueva versión principal, después del 14 de septiembre de 2022 y al que se entrega de forma continua, como los servicios SaaS; se excluyen el software desarrollado por las agencias, el de código abierto obtenido directa y gratuitamente y el de libre disposición. Lo firma el consejero delegado o una persona delegada y se envía por el portal RSAA de la CISA o por correo electrónico.

Información

Jurisdicción

Estados Unidos

Organismo emisor

Cybersecurity and Infrastructure Security Agency (CISA)

Tipo

Directriz / marco / norma

Idiomas disponibles

inglés

Temas

• Seguridad del software y de las aplicaciones
• Cadena de suministro
• Administración digital

Notas

La CISA publicó el formulario definitivo el 11 de marzo de 2024, junto con el portal RSAA (Repository for Software Attestations and Artifacts) para cargar las atestaciones y los posibles documentos de apoyo; la página del formulario se actualizó el 14 de mayo de 2024. Con el memorando M-26-05 del 23 de enero de 2026, la OMB revocó el M-22-18 y el M-23-16 y pidió a cada agencia un enfoque de la seguridad del software y el hardware basado en el riesgo: las agencias pueden seguir usando el formulario y exigir por contrato una SBOM actualizada, pero ya no están obligadas a pedir la atestación. La página de la CISA que presenta el formulario figura ahora como contenido archivado.

Cybersecurity and Infrastructure Security Agency (CISA). (2024). Secure Software Development Attestation Form (OMB Control No. 1670-0052). https://www.cisa.gov/resources-tools/resources/secure-software-development-attestation-form

Cybersecurity and Infrastructure Security Agency (CISA). "Secure Software Development Attestation Form." 11 March 2024. https://www.cisa.gov/resources-tools/resources/secure-software-development-attestation-form.

@misc{us_cisa_secure_software_attestation_form_2024,
  author       = {{Cybersecurity and Infrastructure Security Agency (CISA)}},
  title        = {{Secure Software Development Attestation Form}},
  year         = {2024},
  note         = {OMB Control No. 1670-0052},
  url          = {https://www.cisa.gov/resources-tools/resources/secure-software-development-attestation-form},
  urldate      = {2026-11-02}
}