Logo Debian
Beberapa hari lepas keputusan undian umum pemaju projek Debian, di mana telah mengeluarkan pendirian mereka berkenaan projek tersebut Undang-undang Ketahanan Siber (CRA) yang dicadangkan dalam Kesatuan Eropah.
Undang-undang Ketahanan Siber bertujuan untuk mewujudkan keperluan tambahan untuk pengeluar perisian, dengan tujuan untuk meningkatkan pengurusan keselamatan dan kelemahan sepanjang kitaran hayat produk. Walau bagaimanapun, komuniti Debian menyatakan kebimbangan mengenai potensi kesan ke atas ekosistem pembangunan perisian sumber terbuka.
Apakah Undang-undang Ketahanan Siber?
Akta Ketahanan Siber (CRA) Ia adalah perundangan yang dicadangkan oleh Suruhanjaya Eropah yang mempunyai objektif meningkatkan keselamatan siber produk dan perkhidmatan digital di Kesatuan Eropah.
CRA menetapkan satu siri keperluan untuk pengilang dan pembekal produk dan perkhidmatan digital, yang mesti dipenuhi sepanjang keseluruhan kitaran hayat produk atau perkhidmatan dan sekiranya tidak mematuhi keperluan, ia dirancang untuk memperkenalkan denda yang boleh mencecah 15 juta euro atau 2,5% daripada tahunan syarikat. perolehan.
Apabila undang-undang itu diluluskan, Pengilang dikehendaki memudahkan pengedaran patch untuk menangani kelemahan dalam produk mereka. selain itu, mesti menjalankan penilaian risiko keselamatan sebelum melancarkan produk baharu di pasaran dan melakukan ujian keselamatan. Khususnya, audit luar mandatori untuk sistem kritikal akan dilaksanakan. selain itu, Pengilang dijangka menghapuskan sebarang kelemahan sepanjang keseluruhan kitaran hayat produk dan melaporkan insiden keselamatan dalam tempoh maksimum 24 jam selepas penemuannya kepada agensi keselamatan siber Kesatuan Eropah (ENISA).
Perlu dinyatakan bahawa kesan utama perundangan akan jatuh ke atas pengeluar perisian komersial, tetapi Terdapat kebimbangan dalam masyarakat mengenai kemungkinan kesan negatifnya terhadap ekosistem pembangunan perisian sumber terbuka.
Perkara utama yang menjadi kebimbangan
Liabiliti undang-undang untuk Debian
Rang undang-undang itu memperkenalkan liabiliti undang-undang kerana kegagalan mematuhi keperluan keselamatan, yang bertentangan dengan tanggungjawab sosial Debian untuk mengedarkan perisian untuk sebarang tujuan dan tanpa sekatan. Dengan tidak menjejaki asal kod dan mengedarkan perisian untuk sebarang tujuan tanpa sekatan, Debian menghadapi risiko undang-undang apabila menggunakan keperluan yang ditetapkan dalam CRA.
Kemungkinan persaraan sumber terbuka
CRA boleh menyebabkan projek huluan berhenti menyediakan kod mereka kerana takut akan sekatan. Ini juga boleh menyukarkan komuniti sumber terbuka untuk berkongsi kod, kerana pembangun perlu mempertimbangkan implikasi undang-undang.
Kesan kepada pembangunan sumber terbuka
Masyarakat bimbang bahawa CRA boleh mengehadkan kemajuan projek sumber terbuka dan menghalang pembangunan antarabangsa perisian sumber terbuka. Syarikat yang menggunakan atau menyumbang kepada projek sumber terbuka boleh bertanggungjawab terhadap isu keselamatan, walaupun kod itu dibuat di negara lain.
Risiko undang-undang untuk projek bebas
Projek bebas yang menggabungkan kod daripada pengilang komersial mungkin menghadapi akibat undang-undang yang tidak pasti kerana liabiliti undang-undang yang diperkenalkan oleh CRA boleh menjejaskan pemindahan kod antara projek komersial dan bukan komersial.
Sifat keperluan pelaporan yang boleh dipersoalkan
Pembangun menyatakan keraguan tentang keperluan untuk melaporkan isu keselamatan kepada Agensi Keselamatan dan Rangkaian Maklumat Eropah (ENISA) dalam masa 24 jam. Mengumpul maklumat tentang kelemahan yang tidak ditambal di satu tempat boleh menimbulkan risiko yang ketara sekiranya berlaku kebocoran data.
Tuntutan dan Cadangan
Pengecualian daripada pembangunan sumber terbuka
Pembangun Debian menyeru pembangunan sumber terbuka dialih keluar sepenuhnya daripada CRA dan undang-undang hanya terpakai kepada produk akhir.
Pengecualian untuk peniaga tunggal dan perniagaan kecil
Adalah dicadangkan bahawa keperluan CRA tidak terpakai kepada peniaga tunggal dan perniagaan kecil, kerana mereka mungkin tidak memenuhi semua keperluan dan mungkin terpaksa ditutup.
Penilaian semula keperluan pelaporan
Pembangun Debian meminta penilaian semula tentang keperluan dan sifat keperluan pelaporan CRA, dengan mengambil kira potensi risiko keselamatan yang berkaitan.
Kenyataan pembangun Debian menekankan kepentingan memelihara sifat terbuka dan kerjasama pembangunan perisian sumber terbuka di tengah-tengah kebimbangan yang dibangkitkan oleh CRA yang dicadangkan.
Akhir sekali, jika anda berminat untuk mengetahui lebih lanjut mengenainya, anda boleh merujuk butiran dalam pautan berikut.