{"id":112550,"date":"2023-12-28T15:10:16","date_gmt":"2023-12-28T13:10:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/razrabotchiki-debian-opublikovali-zayavlenie-svyazannoe-s-zakonoproektom-cyber-resilience-act"},"modified":"2023-12-28T15:10:16","modified_gmt":"2023-12-28T13:10:16","slug":"razrabotchiki-debian-opublikovali-zayavlenie-svyazannoe-s-zakonoproektom-cyber-resilience-act","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/razrabotchiki-debian-opublikovali-zayavlenie-svyazannoe-s-zakonoproektom-cyber-resilience-act","title":{"rendered":"Gli sviluppatori di Debian hanno pubblicato una dichiarazione relativa al Cyber Resilience Act.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Sono stati pubblicati i risultati della votazione generale (GR, risoluzione generale) degli sviluppatori del progetto Debian, coinvolti nella manutenzione dei pacchetti e nella gestione dell'infrastruttura, riguardo al testo della dichiarazione che esprime la posizione del progetto in merito alla proposta di legge Cyber Resilience Act (CRA) promossa nell'Unione Europea. La proposta di legge introduce ulteriori requisiti per i produttori di software, mirati a stimolare il mantenimento della sicurezza, la divulgazione delle informazioni sugli incidenti e la risposta rapida alle vulnerabilit\u00e0 durante il ciclo di vita del prodotto. <\/p>\n
In caso di violazione dei requisiti, si prevede l'introduzione di sanzioni che possono raggiungere i 15 milioni di euro o il 2,5% del fatturato annuale dell'azienda. Dopo l'adozione della proposta di legge, i produttori saranno obbligati a fornire mezzi per la consegna delle correzioni delle vulnerabilit\u00e0, effettuare valutazioni dei rischi legati alla sicurezza prima del lancio del prodotto sul mercato, eseguire test di sicurezza del prodotto (per i sistemi critici \u00e8 previsto un audit esterno obbligatorio), risolvere le vulnerabilit\u00e0 per tutto il ciclo di vita e trasmettere informazioni sugli incidenti di sicurezza entro 24 ore dalla scoperta del problema. <\/p>\n
Nonostante le tendenze emergenti, la proposta di legge sembrerebbe riguardare solo i produttori di software commerciale, la comunit\u00e0 \u00e8 preoccupata per il suo impatto negativo sull'ecosistema dello sviluppo del software libero e considera la proposta come un fattore che ostacola la promozione di progetti aperti e compromette lo sviluppo del software libero come movimento internazionale. Le aziende che sviluppano prodotti basati su progetti aperti internazionali o utilizzano librerie aperte saranno tenute responsabili per i problemi di sicurezza e la correzione inadeguata delle vulnerabilit\u00e0 nel codice, anche se quel codice \u00e8 scritto da appassionati di altri Paesi. Si prevede che l'emergere di ulteriori rischi per le aziende ridurr\u00e0 l'attrattiva della creazione di software basato su codice aperto. <\/p>\n
Allo stesso tempo, le conseguenze legali possono riguardare anche i progetti indipendenti che includono codice di produttori di prodotti commerciali. Ad esempio, c'\u00e8 incertezza riguardo alla responsabilit\u00e0 nei casi in cui il codice aperto sviluppato da un'azienda commerciale possa essere trasferito a progetti non profit di terze parti e utilizzato nelle distribuzioni Linux. <\/p>\n
La proposta di legge introduce la responsabilit\u00e0 legale per la non conformit\u00e0 ai requisiti di sicurezza, il che contrasta con gli impegni sociali di Debian di distribuire software per qualsiasi scopo e senza restrizioni. Debian non monitora il coinvolgimento del codice in progetti commerciali, l'occupazione degli sviluppatori e le fonti di finanziamento per gli sviluppi forniti nella distribuzione, pertanto l'imposizione dei requisiti previsti dalla proposta di legge aumenta i rischi legali nell'uso della distribuzione. <\/p>\n
C'\u00e8 il rischio che i progetti upstream smettano di fornire il loro codice a causa delle preoccupazioni di essere soggetti al CRA e alle relative sanzioni. Il CRA potrebbe anche complicare i processi di trasferimento alle comunit\u00e0 open source \u2014 per aprire il codice, gli sviluppatori dovranno valutare le possibili conseguenze legali. Inoltre, il disegno di legge riduce l'attrattiva del processo di sviluppo aperto, poich\u00e9 il lavoro \u00e8 visibile e trasparente per tutti, e il codice pu\u00f2 essere utilizzato nel processo di sviluppo, consentendo di applicare i requisiti del CRA durante il lavoro sul prodotto, mentre il software proprietario viene sviluppato dietro porte chiuse e rientra nella legge solo dopo il rilascio finale. <\/p>\n
Gli sviluppatori di Debian chiedono di escludere completamente il processo di sviluppo aperto dall'ambito di applicazione del CRA e di applicare la legge solo ai prodotti finali. Si propone inoltre di non applicare i requisiti del CRA ai prodotti degli imprenditori individuali e delle piccole imprese, poich\u00e9 non hanno le risorse per soddisfare tutti i requisiti richiesti dal CRA e sarebbero costretti a chiudere la propria attivit\u00e0. <\/p>\n
La dichiarazione menziona anche il carattere discutibile del requisito di trasmettere all'Agenzia Europea per la Sicurezza delle Reti e dell'Informazione (ENISA) informazioni sulle problematiche di sicurezza entro 24 ore dalla scoperta del problema o dalla ricezione di informazioni sulle vulnerabilit\u00e0. L'accumulo di informazioni su tutte le vulnerabilit\u00e0 non riparate in un unico luogo pu\u00f2 portare a grandi problemi per tutti gli utenti in caso di fuga di dati, trasmissione di informazioni ai servizi segreti o compromissione dell'ENISA. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"