Ustanowienie i udokumentowanie polityki cyberbezpieczeństwa dla oprogramowania open source
- Dotyczy
- Open-source steward
- Cytowania źródeł
- Art. 24(1)
- Klasy produktów
- DefaultImportant — Class IImportant — Class IICritical
Prosty język
Jako opiekun OSS należy posiadać pisemną politykę cyberbezpieczeństwa obejmującą zarówno sposoby opracowywania bezpiecznego oprogramowania, jak i obsługi podatności bezpieczeństwa w przypadku ich wykrycia. Nie musi to być korporacyjny dokument zgodności — może być to plik SECURITY.md, polityka bezpieczeństwa projektu lub podobny dokument — ale musi istnieć i być udokumentowany. Polityka musi dotyczyć zarówno praktyk bezpiecznego opracowywania, jak i obsługi podatności.
Tekst prawny
Artykuł 24 ust. 1 rozporządzenia (UE) 2024/2847 stanowi, że opiekunowie oprogramowania open source ustanawiają i dokumentują politykę cyberbezpieczeństwa mającą na celu wspieranie opracowywania bezpiecznego produktu z elementami cyfrowymi, w tym dostarczanych przez nich komponentów oprogramowania open source, oraz skuteczną obsługę podatności zgodnie z Art. 13 ust. 6 w zakresie, w jakim ma on do nich zastosowanie.
Polityka cyberbezpieczeństwa musi dotyczyć co najmniej:
- praktyk bezpiecznego opracowywania stosowanych wobec oprogramowania open source;
- procesu obsługi podatności, w tym skoordynowanego ujawniania.
Kluczowe wymagania
- Pisemna polityka — musi być udokumentowana (nie tylko praktyka nieformalna)
- Zakres bezpiecznego opracowywania — polityka dotyczy sposobu uwzględniania bezpieczeństwa podczas opracowywania komponentu OSS
- Obsługa podatności — polityka obejmuje sposób przyjmowania, klasyfikacji, eliminowania i ujawniania podatności
- Proces skoordynowanego ujawniania — jasny proces dla badaczy bezpieczeństwa i użytkowników do zgłaszania podatności (np. SECURITY.md, polityka ujawniania podatności)
- Aktualizowanie — polityka powinna ewoluować wraz z projektem i zmieniającym się krajobrazem zagrożeń
Dokumenty, które mogą być wymagane
- Opublikowany dokument polityki bezpieczeństwa (np. SECURITY.md w repozytorium kodu)
- Polityka ujawniania podatności lub dokument procesu skoordynowanego ujawniania
- Wytyczne dotyczące bezpiecznego opracowywania przywołane lub stosowane przez projekt
- Dowód aktywnego przestrzegania polityki (np. zamknięte CVE przez proces ujawniania)