데비안 개발자는 사이버 탄력성법(Cyber ​​Resilience Act)에 관한 성명서를 발표했습니다.

패키지 유지 및 인프라 유지 관리에 관련된 데비안 프로젝트 개발자의 일반 투표(GR, 일반 결의) 결과가 공개되었으며, 여기에 CRA(사이버 복원력법) 법안에 대한 프로젝트의 입장을 표현하는 성명서 텍스트가 게시되었습니다. 유럽 ​​연합에서 추진하는 것이 승인되었습니다. 이 법안은 제품 수명 주기 전반에 걸쳐 보안 유지, 사고에 대한 정보 공개, 즉각적인 취약점 제거를 장려하는 것을 목표로 하는 소프트웨어 제조업체에 대한 추가 요구 사항을 도입합니다.

요구 사항을 위반할 경우 15만 유로 또는 회사 연간 매출액의 2.5%에 달하는 벌금이 부과될 예정입니다. 법안이 통과되면 제조업체는 취약점에 대한 패치 제공, 제품 출시 전 보안 위험 평가 수행, 제품 보안 테스트 수행(중요 시스템에 대해 필수 외부 감사 도입), 전반적인 취약점 제거 수단을 제공해야 합니다. 수명주기를 파악하고, 문제 발견 후 24시간 이내에 보안 사고에 대한 정보를 전달합니다.

새로운 추세로 판단할 때 이 법안은 상용 소프트웨어 생산자에게만 영향을 미칠 것이라는 사실에도 불구하고 커뮤니티에서는 이 법안이 오픈 소스 소프트웨어 개발 생태계에 미치는 부정적인 영향을 우려하고 있으며 이 법안을 오픈 소스 프로젝트의 발전을 제한하는 요소로 보고 있습니다. 국제적인 운동으로서 오픈 소스 소프트웨어의 개발을 방해합니다. 국제 오픈 소스 프로젝트를 기반으로 제품을 개발하거나 오픈 소스 라이브러리를 사용하는 회사는 해당 코드가 다른 국가의 열성팬에 의해 작성되었더라도 보안 문제와 코드의 취약점 패치가 부적절하게 적용되는 것에 대해 책임을 지게 됩니다. 추가적인 비즈니스 리스크의 등장으로 오픈소스 기반 소프트웨어 개발의 매력이 줄어들 것으로 예상된다.

동시에 상용 제품 제조업체의 코드를 포함하는 독립 프로젝트도 법적 결과의 영향을 받을 수 있습니다. 예를 들어, 영리 기업이 개발한 오픈 소스 코드를 제3자의 비상업적 프로젝트로 이전하여 Linux 배포판에 사용할 수 있는 경우 책임에 대한 불확실성이 있습니다.

이 법안은 보안 요구 사항을 준수하지 않는 경우 법적 책임을 도입하는데, 이는 어떤 목적으로든 제한 없이 소프트웨어를 배포해야 하는 데비안의 사회적 책임에 어긋납니다. 데비안은 상업 프로젝트에서의 코드 관련, 개발자 고용, 배포판에 제공된 개발 자금 출처를 추적하지 않으므로 법안에 명시된 요구 사항을 부과하면 배포판을 사용할 때 법적 위험이 커집니다.

CRA 및 관련 처벌 적용에 대한 우려로 인해 업스트림 프로젝트에서 코드 제공을 중단할 위험이 있습니다. CRA는 또한 커뮤니티와 오픈 소스 코드를 공유하는 것을 더 어렵게 만들 수 있으므로 개발자는 코드 제공에 따른 법적 영향을 평가해야 합니다. 또한, 이 법안은 작업이 모든 사람에게 공개되고 투명하며, 개발 프로세스 중에 코드를 사용할 수 있기 때문에 개방형 개발 프로세스의 매력을 감소시킵니다. 따라서 제품 작업 중에 CRA 요구 사항을 적용할 수 있지만 독점 소프트웨어는 비공개로 개발되었으며 최종 출시 시 법의 적용을 받습니다.

데비안 개발자들은 오픈 소스 개발을 CRA에서 완전히 제거하고 법률이 최종 제품에만 적용되도록 요구하고 있습니다. 또한 개인 사업자 및 중소기업의 제품에는 CRA가 부과한 모든 요건을 충족하지 못하고 사업을 폐쇄해야 하므로 CRA 요건을 적용하지 않는 것이 제안되었습니다.

이 성명은 또한 문제를 식별하거나 취약점에 대한 정보를 받은 후 24시간 이내에 유럽 네트워크 및 정보 보안 기관(ENISA)에 보안 문제를 보고해야 한다는 요구 사항의 의심스러운 성격을 언급합니다. 아직 해결되지 않은 모든 취약점에 대한 정보가 한곳에 축적되면 정보 유출, 정보기관으로의 정보 전달, ENISA의 침해 등이 발생할 경우 모든 사용자에게 큰 문제가 발생할 수 있습니다.

출처 : opennet.ru