Google трубит о Федеральной инициативе США по безопасности с открытым исходным кодом

Google оказывает значительное влияние на предлагаемую правительством США политическую структуру, направленную на повышение безопасности программного обеспечения с открытым исходным кодом, призывая частный сектор поддержать эту инициативу.

Закон о защите программного обеспечения с открытым исходным кодом, представленный в Сенате в прошлом месяце [PDF]
Это двухпартийный законопроект, который создаст план безопасности и снижения рисков при использовании федеральным правительством программного обеспечения с открытым исходным кодом.

«Мы рады видеть продолжающийся акцент на важности безопасности программного обеспечения с открытым исходным кодом со стороны правительства США, и мы надеемся, что как государственные, так и частные организации последуют их примеру и будут способствовать повышению кибербезопасности для экосистемы в целом», — отметил Ройал Хансен. , вице-президент по техническим вопросам группы доверия и безопасности Google, в Сообщение в блоге от 27 октября.

Код программного обеспечения с открытым исходным кодом, то есть свободно доступные строительные блоки для приложений всех мастей, по сути, является движущей силой современного цифрового предприятия. Но злой киберактивность против цепочки поставок программного обеспечения за последние несколько кварталов резко возросла с SolarWinds
в Журнал4Shell
к рогу изобилия вредоносных и отравленных проектов и пакетов, появляющихся в доверенных репозитории кода, такие как npm.

Хансен отметил, что «по-прежнему трудно ответить на, казалось бы, простые вопросы о цепочке поставок с открытым исходным кодом», в том числе:

• Содержит ли проект известные уязвимости?
• Соблюдают ли сопровождающие и сообщество проекта лучшие методы обеспечения безопасности при разработке программного обеспечения?
• Какие зависимости с открытым исходным кодом являются частью определенного программного обеспечения?
• Насколько безопасной была цепочка поставок?

Google активно работает над этой проблемой посредством таких инициатив, как расширяет свои усилия по поиску ошибок открыть исходный код. В отрасли поддерживаются такие подходы, как спецификации программного обеспечения (SBOM) и автоматические проверки кода, которые помогут обнаружить уязвимые части, прежде чем они распространятся слишком далеко по ландшафту. Google и другие технологические гиганты также вложили миллионы в некоммерческие организации и фонды программного обеспечения, такие как Фонд безопасности с открытым исходным кодом для поддержки создателей открытого исходного кода. Что касается политики, правительство США принял СБОМ для агентств, среди прочего.

По мнению технологического гиганта, новое федеральное законодательство, если оно будет принято, будет способствовать расширению государственно-частного партнерства и еще более значимому привлечению государственного сектора к столу переговоров.

«Защита программного обеспечения с открытым исходным кодом — это общая ответственность, и мы надеемся на продолжение сотрудничества по этой неотложной и критической проблеме», — сказал Хансен.