Google promociona la iniciativa federal de seguridad de código abierto de EE. UU.

Google está poniendo su considerable peso detrás de una propuesta de marco político liderado por el gobierno de Estados Unidos destinado a reforzar la seguridad del software de código abierto, instando al sector privado a apoyar la iniciativa.

La Ley de Seguridad del Software de Código Abierto presentada en el Senado el mes pasado [PDF]
es un proyecto de ley bipartidista que crearía un plan de seguridad y mitigación de riesgos para el uso de software de código abierto por parte del gobierno federal.

"Nos complace ver un énfasis continuo en la importancia de la seguridad del software de código abierto por parte del gobierno de los EE. UU., y esperamos que tanto las organizaciones públicas como las privadas sigan su ejemplo para promover una mejor ciberseguridad para el ecosistema en general", señaló Royal Hansen. , vicepresidente de ingeniería del equipo de confianza y seguridad de Google, en un Publicación de blog del 27 de octubre.

El código de software de fuente abierta, es decir, los componentes básicos disponibles gratuitamente para aplicaciones de todo tipo, es fundamentalmente el motor que impulsa la empresa digital moderna. Pero malicioso actividad cibernética contra la cadena de suministro de software ha aumentado vertiginosamente en los últimos trimestres, desde Vientos solares
a Log4Shell
a una cornucopia de proyectos y paquetes maliciosos y envenenados que aparecen en sitios confiables repositorios de código como npm.

Hansen señaló que “las preguntas aparentemente simples sobre la cadena de suministro de código abierto todavía son difíciles de responder”, entre ellas:

• ¿Un proyecto contiene vulnerabilidades conocidas?
• ¿Los mantenedores del proyecto y la comunidad siguen las mejores prácticas de seguridad durante el desarrollo de software?
• ¿Qué dependencias de código abierto forman parte de un software en particular?
• ¿Qué tan segura era la cadena de suministro de distribución?

Google ha estado trabajando activamente en el problema, a través de iniciativas como ampliando sus esfuerzos de recompensa de errores al código abierto. La industria ha defendido enfoques como listas de materiales de software (SBOM) y revisiones de código automatizadas para ayudar a detectar piezas vulnerables antes de que se propaguen demasiado por el paisaje. Google y otros gigantes tecnológicos también han invertido millones en organizaciones sin fines de lucro y fundaciones de software como la Fundación de seguridad de código abierto para apoyar a los creadores de código abierto. En lo que respecta a las políticas, el gobierno de Estados Unidos ha abrazaron los SBOM para agencias, entre otras movidas.

La nueva legislación federal, si se aprueba, fomentará más asociaciones público-privadas y traerá al sector público a la mesa de negociaciones de maneras aún más significativas, según el gigante tecnológico.

"Asegurar el software de código abierto es una responsabilidad compartida y esperamos seguir colaborando en este problema crítico y urgente", dijo Hansen.