Secure by design
Podejście, w którym producent projektuje produkt tak, by był bezpieczny od początku i domyślnie, zamiast zostawiać klientowi łatanie i utwardzanie konfiguracji.
Według dokumentu CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. i kilkunastu partnerskich agencji z 2023 r. produkt secure by design jest zbudowany tak, żeby w rozsądnym stopniu chronił przed uzyskaniem przez atakującego dostępu do urządzeń, danych i połączonej infrastruktury. Producent szacuje ryzyko i buduje model zagrożeń, zanim zacznie pisać kod. Częścią tego podejścia jest secure by default: produkt jest bezpieczny od razu po instalacji, bez dodatkowej konfiguracji i bez dopłaty za funkcje takie jak MFAUwierzytelnianie wieloskładnikowe Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa. czy logi.
Dla organizacji, która oprogramowanie kupuje, to przede wszystkim pytania do dostawcy przy zakupie: czy MFA i logi są w wersji podstawowej bez dopłaty, czy produkt ma hasła domyślne, czy producent publikuje politykę ujawniania podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. i dostarcza SBOMWykaz komponentów oprogramowania Software bill of materials: formalny spis bibliotek i komponentów, z których zbudowano program, razem z ich pochodzeniem. Pozwala szybko sprawdzić, czy produkt zawiera podatny komponent..