قانون Cyber Resilience Act اروپا و تکلیف نرم‌افزارها
خلاصهٔ کامل‌تر
تو این مقاله‌ی InfoWorld اومده که اتحادیه‌ی اروپا با Cyber Resilience Act (یا CRA) داره قوانین امنیتی جدیدی برای هر محصولی که «بخش دیجیتال» داره میاره؛ از ساعت هوشمند و گوشی گرفته تا تجهیزات دیتاسنتر و صنعتی، و البته نرم‌افزاری که روشون اجرا میشه. فرقی هم نمی‌کنه محصول رو خود شرکت بفروشه یا از یه زنجیره‌ی توزیع رد بشه. قانون کامل دسامبر ۲۰۲۷ اجرا میشه، ولی اولین الزامات گزارش‌دهی از سپتامبر ۲۰۲۶ فعال شده. نویسنده می‌گه خیلی از توسعه‌دهنده‌های بیرون از اروپا ازش خبر ندارن و این می‌تونه به جریمه یا بلاک شدن فروش برسه.
طبق CRA هر محصول نرم‌افزاری باید ۱۳ دستورالعمل رو رعایت کنه. تنظیمات پیش‌فرض باید امن باشه، دسترسی غیرمجاز ممکن نباشه، داده‌ها امن نگه‌داری بشن و سطح حمله (attack surface، یعنی راه‌هایی که مهاجم می‌تونه ازشون وارد بشه) کم باشه. مهم‌ترینش اینه که نرم‌افزار باید قابل آپدیت به یه نسخه‌ی امن‌تر باشه. کاربر هم باید بتونه داده‌اش رو پاک کنه یا از محصول بیرون ببره و قفل یه سرویس نشه. شرکت‌ها هم تشویق می‌شن داده‌ای که لازم ندارن جمع نکنن.
به گفته‌ی نویسنده، سخت‌ترین بخش برای تیم‌های نرم‌افزاری اینه که محصول باید بدون هیچ آسیب‌پذیری شناخته‌شده‌ای عرضه بشه. اینجا SBOM (یعنی فهرست همه‌ی کامپوننت‌ها و کتابخونه‌هایی که برنامه بهشون وابسته‌ست) حیاتی میشه، چون به ناظر نشون می‌ده همه‌چی رو موقع انتشار چک کردی. اگه بعداً هم مشکلی پیدا شد، باید بتونی سریع درستش کنی.
یه بحث داغ، رفتار CRA با اوپن‌سورس بود. نسخه‌ی اول همه‌ی نرم‌افزارها رو یکسان می‌دید؛ یعنی یه توسعه‌دهنده‌ی تنها که روی یه کامپوننت کوچیک ولی حیاتی کار می‌کنه، همون مسئولیت شرکتی با بودجه‌ی میلیاردی رو داشت. بعد از لابی جامعه‌ی اوپن‌سورس، یه مصالحه شد: پروژه‌های اوپن‌سورس تجاری باید اصلاحات رو انجام بدن، ولی پروژه‌های رایگان مثل قبل کار می‌کنن. مفهوم «Open Source Steward» هم اضافه شد برای بنیادهایی که از پروژه‌ها حمایت می‌کنن ولی مسئولیت مالی ندارن.
نویسنده معتقده تیم‌ها از همین الان باید فرایندهاشون رو آماده کنن: امنیت از اول طراحی، امکان آپدیت محصول، و یه روند مشخص برای خبر دادن مشکلات به مرجع مربوطه. به قول خودش هیچ نرم‌افزاری بی‌نقص نیست، ولی راه انداختن فرایندی که نرم‌افزار رو امن و به‌روز نگه داره کاملاً شدنیه.
نکات کلیدی:
- CRA شامل هر محصولی با بخش دیجیتال میشه که تو بازار اروپا فروخته میشه.
- الزامات گزارش‌دهی از سپتامبر ۲۰۲۶ شروع شده و قانون کامل دسامبر ۲۰۲۷ اجرا میشه.
- محصولات باید ۱۳ دستورالعمل امنیتی و داده‌ای رو رعایت کنن و قابل آپدیت باشن.
- محصول باید بدون آسیب‌پذیری شناخته‌شده عرضه بشه و SBOM تمیز داشته باشه.
- پروژه‌های اوپن‌سورس رایگان از مسئولیت پروژه‌های تجاری معاف شدن و نقش Open Source Steward تعریف شد.
