De Amerikaanse overheid zoekt informatie over en feedback op het oplossen van veelvoorkomende kwetsbaarheden zoals SQL injection, path traversal en hardcoded wachtwoorden. Ook wordt gezocht naar antwoorden op hoe leveranciers veiligere software kunnen maken en hoe organisaties die software afnemen omgaan met de veiligheid hiervan. Vorig jaar publiceerden internationale cyberagentschappen, waaronder het Nationaal Cyber Security Centrum (NCSC), een rapport genaamd "Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software" (pdf).

Daarin worden softwareleveranciers opgeroepen om principes voor veilige softwareontwikkeling te volgen. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security heeft nu om reacties op het document gevraagd, maar ook om informatie over en feedback op aanvullende onderwerpen. Het gaat dan bijvoorbeeld om het oplossen van veelvoorkomende kwetsbaarheden. "In het nieuws zien we geregeld voorbeelden van kwetsbaarheden waarvoor al jarenlang, of zelfs decennia, effectieve oplossingen bestaan."

Het CISA noemt als voorbeeld SQL injection, path traversal en hardcoded wachtwoorden. De overheidsinstantie wil weten wat de obstakels zijn om dit soort kwetsbaarheden te verhelpen, hoe potentiële klanten kunnen beoordelen welke softwareleveranciers deze beveiligingslekken niet in hun software hebben zitten en welke aanpassingen er aan het Common Vulnerabilities and Exposures (CVE) moet worden doorgevoerd om ervoor te zorgen dat meer bedrijven veelvoorkomende kwetsbaarheden identificeren en onderzoek doen om ze te verhelpen. Daarnaast wil het CISA ook weten wat de financiële impact van softwarelekken op leveranciers is en hoe softwareleveranciers bepalen welke kwetsbaarheden ze verhelpen.

Een ander onderwerp dat op de lijst staat is de tegenzin van bedrijven om te upgraden naar nieuwe veiligheidsfeatures of netwerkprotocollen die softwareleveranciers hebben ontwikkeld. Dergelijke upgrades vereisen acties van de klant, maar die blijken de beveiligingsverbeteringen niet door te voeren omdat het tijd of geld kost. Het CISA wil nu weten wat de primaire obstakels zijn waarom klanten geen upgrades uitvoeren die hun risico verminderen en wanneer klanten besluiten upgrades wel uit te voeren. De feedback die het CISA ontvangt kan als aanvulling aan gepubliceerde rapport worden toegevoegd.