Безопасность и Соответствие CRA: Новые Отчеты Linux Foundation

---

Linux Foundation и OpenSSF выпустили два отчета, которые анализируют стратегии обеспечения безопасности и соответствия требованиям Cyber Resilience Act (CRA) в открытом ПО. Отчеты выявляют пробелы в знаниях и предлагают лучшие практики для производителей и разработчиков. Важность открытого сотрудничества и необходимость в четком регулировании подчеркиваются в контексте глобального рынка программного обеспечения.

Безопасность и Соответствие CRA: Новые Отчеты Linux Foundation

В мире открытого программного обеспечения (ПО) постоянно происходят изменения, особенно в области безопасности и регулирования. Недавно Linux Foundation в партнерстве с Open Source Security Foundation (OpenSSF) и Linux Foundation Europe (LF Europe) опубликовала два новых отчета, которые исследуют стратегии обеспечения безопасности и соответствия требованиям Cyber Resilience Act (CRA). Эти отчеты предоставляют глубокий анализ того, как открытые сообщества могут укрепить безопасность ПО и инновации на глобальных рынках.

Путь к Лучшим Практикам Кибербезопасности в Открытом ПО

Первый отчет, озаглавленный "Pathways to Cybersecurity Best Practices in Open Source: How the Civil Infrastructure Platform, Yocto Project, and Zephyr Project are Closing the Gap to Meeting the Requirements of the Cyber Resilience Act", фокусируется на том, как три проекта Linux Foundation - Civil Infrastructure Platform (CIP), Yocto Project и Zephyr Project - соответствуют минимальным требованиям CRA. Отчет предоставляет текстовый анализ CRA, краткий обзор каждого проекта и детали лучших практик, которые были приняты для соответствия основным требованиям CRA.

Как отметила Хилари Картер, старший вице-президент по исследованиям в Linux Foundation, "По мере того как регуляторные ландшафты развиваются, Linux Foundation Research остается приверженной поддержке лучших практик безопасности через данные и эмпирические выводы. Эти два отчета предлагают конкретные выводы для заинтересованных сторон в открытом ПО, чтобы они могли подготовиться к 2027 году, когда CRA вступит в силу. Мы надеемся, что эти отчеты станут катализатором для более высокого уровня сотрудничества в сообществе открытого ПО".

Габриэле Колумбро, генеральный менеджер Linux Foundation Europe, добавил: "Навигация по CRA требует стратегического подхода, который уравновешивает соответствие с фундаментальными принципами разработки открытого ПО. В Linux Foundation мы размещаем некоторые из наиболее важных проектов, управляющих глобальной критической инфраструктурой, и это исследование подчеркивает нашу приверженность предоставлению конкретных выводов на основе готовности трех этих проектов к CRA, с немедленной релевантностью для производителей, лидеров отрасли и сообществ открытого ПО по всей Европе и по всему миру".

Пробелы в Знаниях и Реальности CRA

Второй отчет, "Unaware and Uncertain: The Stark Realities of Cyber Resilience Act Readiness in Open Source", выявляет значительные пробелы в знаниях экосистемы открытого ПО относительно CRA, который налагает требования к кибербезопасности на продукты с цифровыми элементами. Данные опроса, изложенные в отчете, показывают, что большинство респондентов не знакомы с CRA, не уверены в сроках соответствия и не осведомлены о штрафах за несоответствие. Производители, которые несут основную ответственность, не готовы - многие пассивно полагаются на исправления безопасности из верхнего потока, и только небольшая часть производит Software Bills of Materials (SBOMs).

Стив Фернандес, генеральный менеджер OpenSSF, подчеркнул: "Обеспечение безопасности цепочки поставок ПО необходимо для поддержания доверия к открытому ПО. Этот отчет выявляет значительные пробелы в знаниях и ключевые стратегии, которые помогут организациям выполнить регуляторные обязательства, изложенные в CRA, касающиеся безопасной разработки ПО, сохраняя при этом совместный и децентрализованный характер открытого ПО".

Отчеты рекомендуют производителям принимать более активное участие в обеспечении безопасности открытого ПО, а также подчеркивают необходимость дополнительного финансирования и юридической поддержки для поддержки практик безопасности. Кроме того, ясное регулирование необходимо для предотвращения непреднамеренных негативных последствий для разработки открытого ПО.

Заключение

Linux Foundation продолжит поддерживать сообщества открытого ПО, отраслевых партнеров и регулирующие органы для продвижения практик безопасной разработки ПО, которые учитывают уникальную динамику открытого ПО, при этом балансируя регуляторное соответствие с открытыми инновациями. Полные отчеты доступны на сайте Linux Foundation.

В контексте обсуждения безопасности и соответствия, стоит отметить, что НайсОС - перспективный российский дистрибутив Linux - также уделяет большое внимание вопросам безопасности и может стать хорошим выбором для тех, кто ищет надежное и безопасное решение для своих нужд.