Безпека Відкритого Коду: Нове Керівництво CISA для Урядових Агентств

Відкритий код може бути таким же безпечним, як і пропрієтарне програмне забезпечення, якщо ним належним чином керувати. Про це йдеться у новому керівництві «Open Source Software: Security Principles and Practices», опублікованому Агентством з кібербезпеки та інфраструктурної безпеки США (CISA).

Це керівництво розроблено, щоб допомогти урядовим агентствам відповідати двом президентським указам (14144 та 14306), які закликають до більш ретельного забезпечення безпеки використовуваного програмного забезпечення. Воно також є відповіддю на нещодавні експлойти, такі як Log4Shell та XZ utils. CISA визнає, що відкритий код надає значні переваги, зокрема відсутність ліцензійних зборів та можливість адаптації програмного забезпечення під власні потреби агентств.

Відмінності в Управлінні Безпекою

Однак, програмне забезпечення з відкритим кодом вимагає іншого підходу до управління, ніж пропрієтарне. У випадку пропрієтарного ПЗ, відповідальність за своєчасні оновлення при виявленні вразливостей лежить на постачальнику, і агентствам слід застосовувати їх якомога швидше. З відкритим кодом агентствам необхідно відігравати більш проактивну роль у виправленні вразливостей та розуміти залежності — додаткові програмні компоненти, на які покладається пакет відкритого коду. Ці компоненти також потребують захисту.

Керівництво та Практичні Рекомендації

Керівництво CISA описує встановлені принципи для виправлення вразливостей. Воно також надає фреймворк для оцінки надійності та толерантності до ризиків програмних пакетів, а також набір найкращих практик для закупівлі, розгортання та підтримки програмного забезпечення з відкритим кодом.

На практиці, агентствам, які бажають використовувати відкритий код, слід встановити процес, що підтримує персонал у виборі програмного забезпечення, яке відповідає потребам агентства, мінімізуючи при цьому ризики. Наприклад, офіс головного інформаційного директора (CIO) агентства може створити систему для попереднього затвердження певних бібліотек програмного забезпечення. Автоматизовані інструменти можуть допомогти перевіряти безпечні програмні пакети, а огляди враховуватимуть потенційні ризики. CIO може індивідуально затверджувати компоненти з вищим ризиком, такі як операційні системи.

Фреймворк C4 для Оцінки Надійності

Для допомоги агентствам CISA розробила фреймворк C4, який можна використовувати для оцінки надійності програмного пакета. Він розглядає чотири фактори (чотири «C»):

• Кодова база (Codebase): Оцінка вихідного коду та залежностей, частота оновлень, кількість виявлених вразливостей та застарілих залежностей.
• Спільнота (Community): Наскільки надійна спільнота, яка підтримує та робить внесок у проєкт. Чи є він частиною фонду, чи керується приватною компанією.
• Поведінка (Conduct): Як керується проєкт? Чи існує процес розкриття вразливостей? Чи дотримуються лідери проєкту власного кодексу поведінки.
• Конфігурація (Configuration): Чи є конфігурація за замовчуванням безпечною? Чи існують посібники для використання в умовах високої чутливості.

Особливості для ШІ-Систем з Відкритим Кодом

CISA рекомендує, щоб ШІ-системи з відкритим кодом проходили додаткові перевірки. Агентствам слід забезпечити достатню прозорість даних для навчання, на додаток до самого програмного забезпечення. Лише за наявності прозорості та доступу агентства можуть розуміти та вивчати програмне забезпечення, аналізувати його на наявність вразливостей та усувати будь-які виявлені вразливості чи ризики.

Застосовність Рекомендацій

Хоча цей звіт CISA орієнтований на федеральні агентства США, його поради є актуальними і для промислового сектору. Багато підприємств у сферах фінансів та охорони здоров'я, наприклад, регулярно дотримуються урядових рекомендацій.