Eiropas Savienības Kiberdrošības noturības akts (Cyber Resilience Act - CRA) jau pavisam drīz stāsies spēkā, radot jaunas prasības programmatūras izstrādātājiem visā Eiropā. Šīm jaunajām regulām ir jāpielāgojas ne tikai komerciāliem uzņēmumiem, bet arī atvērtā koda projektiem. Lai palīdzētu atvērtā koda kopienai veiksmīgi pāriet uz jaunajām drošības prasībām, divas ietekmīgākās organizācijas - Eclipse Foundation un Open Worldwide Application Security Project (OWASP) - paziņojušas par spēku apvienošanu.
Kiberdrošības noturības akts - kas tas ir?
CRA ir jauns ES regulējums, kura mērķis ir palielināt digitālo produktu drošību, sākot no to izstrādes līdz pat lietošanai. Akts pieprasa, lai ražotāji un izstrādātāji ievērotu stingrus kiberdrošības standartus, novēršot ievainojamības un nodrošinot regulārus drošības atjauninājumus. Kāpēc tas ir tik svarīgi? Tāpēc, ka saskaņā ar ekspertu datiem, pat 96% komerciālās programmatūras satur atvērtā koda komponentes. Tas nozīmē, ka jebkura atvērtā koda projekta drošība tieši ietekmē neskaitāmas lietojumprogrammas, kas nonāk mūsu ierīcēs.
Divi tehnoloģiju milži apvieno spēkus
Eclipse Foundation, kas ir lielākā atvērtā koda fondācija ar vairāk nekā 400 zināmiem projektiem (piemēram, Eclipse IDE, Jakarta EE, OpenVSX, Mosquitto), sniedz milzīgu pieredzi atvērtā koda pārvaldībā un sadarbībā ar industriju. Savukārt OWASP ir vispāratzīta drošības organizācija, kas regulāri publicē Top-Ten sarakstus ar aktuālākajām programmatūras ievainojamībām (pašlaik 2025. gada versija), sniedzot kritiskus rīkus un vadlīnijas drošības uzlabošanai. Abu organizāciju sadarbība nodrošinās visaptverošu atbalstu atvērtā koda kopienai.
Piecas sadarbības prioritātes
Eclipse un OWASP plāno koncentrēties uz piecām galvenajām jomām, lai sagatavotu atvērtā koda projektus CRA prasībām:
- **Gatavība CRA prasībām:** Izstrādāt resursus, kas palīdzēs atvērtā koda uzturētājiem un programmatūras komandām pielāgoties regulējumam.
- **Drošības prakses saskaņošana:** Nodrošināt saderību un savietojamību starp dažādām drošības praksēm un ietvariem, nevis veidot jaunus.
- **Izglītība un kopienas iesaiste:** Organizēt vebinārus, apaļā galda diskusijas un apmācības, lai paaugstinātu zināšanas par drošību.
- **Atbalsts uzturētājiem:** Sniedzot praktisku palīdzību, lai atvērtā koda izstrādātāji varētu efektīvāk ieviest drošības pasākumus.
- **Vadlīnijas par politiku:** Izglītošana par CRA un citiem drošības regulējumiem.
Šo iniciatīvu steidzamība ir liela, jo pirmās CRA prasības stāsies spēkā jau pēc dažām nedēļām. Galvenā uzmanība tiks pievērsta tādiem jautājumiem kā Software Bills of Material (SBOMs) ieviešana un piegādes ķēdes drošība.
Praktiskie ieguvumi izstrādātājiem
Atvērtā koda projekti netiks skarti tik smagi kā komerciālie pakalpojumu sniedzēji, taču noteikumi attieksies arī uz tiem. Jaunā sadarbība palīdzēs izstrādātājiem labāk orientēties regulējumā un nodrošināt savu projektu atbilstību. Tas mazinās neskaidrības, paātrinās adaptāciju un galu galā veicinās drošākas programmatūras radīšanu visiem lietotājiem.
Kā Tev šķiet, vai šī iniciatīva pietiekami palīdzēs atvērtā koda kopienai pielāgoties jaunajām ES regulām?
Iezīmē tekstu un spied ziņot par kļūdu.
