CISA публікує рекомендації для федеральних агентств щодо безпеки відкритого програмного забезпечення

Агентство з кібербезпеки та безпеки інфраструктури (CISA) опублікувало посібник для федеральних агентств, спрямований на допомогу в управлінні ризиками безпеки, пов'язаними з відкритим програмним забезпеченням (OSS). Документ охоплює такі теми, як виправлення вразливостей та відкриті моделі штучного інтелекту.

Передумови та актуальність

Видання цього посібника є виконанням розпорядження, підписаного президентом Джо Байденом та зміненого президентом Дональдом Трампом, яке зобов'язувало CISA та інші агентства надавати рекомендації щодо безпеки OSS. Актуальність цих рекомендацій підкреслюється нещодавньою серією атак на відкрите програмне забезпечення.

Кріс Бутера, виконуючий обов'язки помічника виконавчого директора з кібербезпеки CISA, зазначив, що агентство зосереджено на посиленні кібербезпеки країни через співпрацю з урядом, промисловістю та спільнотою відкритого програмного забезпечення. Він закликав федеральні цивільні агентства переглянути цей посібник та впровадити його принципи для покращення управління ризиками, ефективнішого виконання місії та кращого служіння суспільству.

Основні принципи та підходи

Документ під назвою «Відкрите програмне забезпечення: Принципи та практики безпеки» визнає переваги OSS, такі як ефективність, вартість та прозорість безпеки, але також вказує на його унікальні компроміси. У посібнику зазначається, що все програмне забезпечення несе ризики, і OSS не є більш чи менш ризикованим, ніж інше. Ключова відмінність полягає в тому, що з OSS агентства можуть безпосередньо оцінювати якість коду та безпеку, не покладаючись виключно на запевнення постачальників.

OSS все більше переплітається з новими технологіями, такими як штучний інтелект. Агентства, які адаптуються до унікальних характеристик OSS, зможуть краще відповідати майбутнім викликам та використовувати інновації.

Рекомендації для агентств

Посібник CISA містить детальні вказівки:

• Оцінка надійності: Агентствам необхідно оцінювати надійність проєкту OSS перед його затвердженням для використання.
• Відстеження: Відстежувати OSS у своїх репозиторіях управління активами.
• Виправлення вразливостей: Деталізує, як діяти з виправленнями, зокрема у випадках, коли нова вразливість OSS не має готового патчу.
• Внесок та розробка: Надає поради щодо внеску в проєкти OSS, їх створення та забезпечення прав на повторне використання коду урядом при замовленні розробки програмного забезпечення.
• Моделі ШІ з відкритою вагою: Пояснює, як підходити до моделей ШІ з відкритою вагою. Зазначається, що до систем ШІ з «відкритим вихідним кодом» слід підходити інакше, ніж до іншого OSS, оскільки ліцензії відкритого коду для програмного забезпечення ШІ не вимагають рівня прозорості, необхідного для оцінки надійності програмного забезпечення.

Ева Блек, експерт з безпеки відкритого коду та колишній керівник OSS у CISA, високо оцінила посібник, зазначивши, що він демонструє глибоке розуміння глобальної, різноманітної та спільної природи розробки відкритого програмного забезпечення. Вона особливо виділила рекомендації щодо ризиків розгортання неперевірених моделей ШІ з відкритою вагою в чутливих мережах. Блек також висловила думку, що відкрите програмне забезпечення, при відповідальному використанні та спільній підтримці, є і залишатиметься найбезпечнішим та найефективнішим засобом для побудови великомасштабної публічної інфраструктури.