מפתחי דביאן משחררים הצהרה בנוגע לחוק חוסן הסייבר

פורסמו תוצאות ההצבעה הכללית (GR, החלטה כללית) של מפתחי פרויקט דביאן העוסקים בתחזוקת חבילות ותחזוקת תשתית, שבה פורסמו נוסח ההצהרה המביעה את עמדת הפרויקט בנוגע להצעת חוק חוסן הסייבר (CRA) שקודם באיחוד האירופי אושר. הצעת החוק מציגה דרישות נוספות ליצרני תוכנה שמטרתן לתמרץ את תחזוקת האבטחה, חשיפת מידע על תקריות וביטול מיידי של נקודות תורפה לאורך מחזור חיי המוצר.

במקרה של הפרת הדרישות, מתוכנן להטיל קנסות שיכולים להגיע ל-15 מיליון יורו או 2.5% מהמחזור השנתי של החברה. לאחר שהצעת החוק תתקבל, יידרשו היצרנים לספק את האמצעים לספק טלאים לנקודות תורפה, לבצע הערכות סיכוני אבטחה לפני הוצאת מוצר לשוק, לבצע בדיקות אבטחת מוצר (מבוצעות ביקורת חיצונית חובה למערכות קריטיות), לחסל נקודות תורפה לאורך כל הדרך. את מחזור החיים, ולהעביר מידע על אירועי אבטחה תוך 24 שעות לאחר גילוי הבעיה.

למרות העובדה שלפי המגמות המתפתחות, הצעת החוק תשפיע רק על יצרני תוכנה מסחריים, הקהילה מודאגת מהשפעתה השלילית על האקולוגית של פיתוח תוכנה בקוד פתוח ורואה בהצעת החוק גורם המגביל את הקידום של פרויקטים בקוד פתוח. ומעכב את הפיתוח של תוכנת קוד פתוח כתנועה בינלאומית. חברות המפתחות מוצרים המבוססים על פרויקטים בינלאומיים של קוד פתוח או משתמשות בספריות קוד פתוח יישאו באחריות לבעיות אבטחה ותיקון לקוי של נקודות תורפה בקוד, גם אם קוד זה נכתב על ידי חובבים ממדינות אחרות. צפוי כי הופעת סיכונים עסקיים נוספים תפחית את האטרקטיביות של יצירת תוכנה המבוססת על קוד פתוח.

במקביל, פרויקטים עצמאיים הכוללים קוד מיצרני מוצרים מסחריים עשויים להיות מושפעים גם הם מהשלכות משפטיות. לדוגמה, קיימת אי ודאות לגבי אחריות במקרים בהם ניתן להעביר קוד פתוח שפותח על ידי חברה מסחרית לפרויקטים לא מסחריים של צד שלישי ולהשתמש בהם בהפצות לינוקס.

הצעת החוק מציגה אחריות משפטית בגין אי עמידה בדרישות האבטחה, מה שעומד בסתירה לאחריותה החברתית של דביאן להפיץ תוכנה לכל מטרה וללא הגבלות. דביאן אינה עוקבת אחר מעורבות הקוד בפרויקטים מסחריים, העסקת מפתחים ומקורות מימון לפיתוחים המסופקים בהפצה, ולכן הטלת הדרישות המפורטות בהצעת החוק מגדילה את הסיכונים המשפטיים בעת השימוש בהפצה.

קיימת סכנה שפרויקטים במעלה הזרם יפסיקו לספק את הקוד שלהם עקב חשש ליפול תחת ה-CRA והחלת עונשים נלווים. ה-CRA עשוי גם להקשות על שיתוף קוד קוד פתוח עם הקהילה, מה שמחייב מפתחים לשקול את ההשלכות המשפטיות של הפיכת קוד לזמין. כמו כן, הצעת החוק מפחיתה את האטרקטיביות של תהליך הפיתוח הפתוח, שכן העבודה גלויה ושקופה לכולם, וניתן להשתמש בקוד במהלך תהליך הפיתוח, מה שמאפשר להחיל דרישות CRA תוך כדי העבודה על המוצר, בעוד התוכנה הקניינית היא פותח בדלתיים סגורות והופך להיות כפוף לחוק עם השחרור הסופי.

מפתחי דביאן קוראים להסיר לחלוטין את פיתוח הקוד הפתוח מה-CRA והחוק יחול רק על מוצרים סופיים. כמו כן, מוצע שדרישות ה-CRA לא יחולו על מוצרים של סוחרים יחידים ועסקים קטנים, שכן הם לא יוכלו לעמוד בכל הדרישות שמציב ה-CRA וייאלצו לסגור את עסקיהם.

ההצהרה מתייחסת גם לאופי המפוקפק של הדרישה לדווח על בעיות אבטחה לסוכנות האירופית לאבטחת רשתות ומידע (ENISA) תוך 24 שעות מרגע זיהוי בעיה או קבלת מידע על פגיעות. צבירת מידע על כל הפרצות שעדיין לא תוקנו במקום אחד עלולה להוביל לבעיות גדולות עבור כל המשתמשים במקרה של דליפת מידע, העברת מידע לסוכנויות ביון או פשרה של ENISA.

מקור: OpenNet.ru