Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) публикува ръководството „Софтуер с отворен код: Принципи и практики за сигурност“, което предоставя на федералните агенции препоръки за управление на сигурността на софтуера с отворен код (OSS), принос към OSS проекти и оценяване на системи с изкуствен интелект (ИИ) с отворен код.
Федералните агенции могат да извлекат ползи от софтуера с отворен код, тъй като неговият изходен код може да бъде независимо прегледан, което намалява зависимостта от твърденията на доставчиците. Той може да намали зависимостта от един доставчик, да понижи разходите чрез елиминиране на таксите за лицензиране и споделяне на усилията за разработка, както и да подпомогне прозрачността, като направи публично финансирания софтуер достъпен, където е уместно.
CISA препоръчва софтуерът с отворен код да се третира като всеки друг софтуерен актив, като се оценява неговата сигурност преди приемането му и се наблюдава през целия му жизнен цикъл. Агенциите трябва да избират активно поддържани проекти, да разбират лицензите, уреждащи тяхното използване, и да поддържат опис на компонентите с отворен код, от които зависят, съветва агенцията.
Насоките препоръчват проследяване на софтуерните зависимости, наблюдение на проектите за новооткрити уязвимости и редовно оценяване дали проектите остават надеждни. Спецификациите на софтуерните материали (SBOM) могат да помогнат за идентифициране на засегнатите компоненти, когато се разкрият нови уязвимости.
Агенциите трябва да инсталират корекции за сигурност веднага щом това е практически възможно и да бъдат готови да допринасят с корекции, когато използват персонализиран софтуер или когато проект с отворен код все още не е пуснал актуализация. Ако даден проект достигне края на своята поддръжка или проблемите със сигурността останат нерешени, агенцията препоръчва замяната му с поддържана алтернатива.
Инструментите, включително тези с ИИ, увеличават броя на откриваните уязвимости и ускоряват разработването на корекции за сигурност. CISA насърчава организациите да автоматизират управлението на зависимостите, внедряването на корекции за сигурност и тестването на сигурността, където е възможно.
CISA насърчава агенциите да допринасят с подобрения към проектите с отворен код, които използват, включително корекции за сигурност, доклади за грешки, документация и технически дискусии. Споделянето на тези промени с по-широката общност може да намали дублирането на работа, да подобри софтуера за всички потребители и да направи публично достъпни подобренията, финансирани от правителството.
Преди да допринесат, агенциите трябва да потвърдят, че лицензът на проекта позволява участие, и определено трябва да прегледат предоставения изходен код, документация и конфигурационни файлове, за да се уверят, че те не разкриват пароли, ключове за шифроване, вътрешни системни подробности или друга поверителна информация.
Агенциите, които разработват софтуер, се насърчават да обмислят разработването и публикуването му с отворен код още от самото начало, освен ако правни съображения, съображения за сигурност или оперативни причини не възпрепятстват пускането му, казва CISA.
Описът на вътрешно разработения софтуер трябва да показва дали всеки проект ще бъде пуснат публично, споделен само в рамките на федералното правителство или задържан поради правни съображения, съображения за сигурност или оперативни причини.
Преди да публикуват проект, агенциите трябва да го прегледат за чувствителна информация, като пароли, ключове за шифроване и вътрешни системни подробности. Те трябва да следват практиките за сигурна софтуерна разработка, да изберат подходящ лиценз за отворен код и да публикуват проекта в публично хранилище за код с документация, насоки за принос, политика за разкриване на уязвимости и SBOM.
След пускането на софтуера, агенциите се насърчават да поддържат проектите, като публикуват актуализации, адресират проблеми със сигурността и ясно съобщават, когато софтуерът вече не се поддържа.
Когато изпълнителите разработват персонализиран софтуер, CISA препоръчва да се гарантира, че правителството запазва правата, необходими за повторно използване, модифициране и, където е уместно, пускане на кода като отворен код.
Оценяване на системи с изкуствен интелект с отворен код
Насоките посочват, че организациите трябва да оценяват така наречените „отворени“ ИИ системи по различен начин от софтуера с отворен код, тъй като ИИ моделите могат да бъдат пуснати под лиценз с отворен код, без техните данни за обучение да бъдат публично достъпни.
Без достъп до данните за обучение и процеса на обучение, организациите може да не са в състояние да установят произхода на модела или да оценят напълно дали неговият процес на разработка или компоненти са били манипулирани, отбелязва агенцията.
Преди внедряване на ИИ система с отворен код, организациите трябва да определят дали имат достатъчно видимост за това как е била разработена, включително нейните данни за обучение и процес на обучение. Ако тази информация не е налична, ръководството препоръчва системата да се третира като проприетарен софтуер с непълен произход и да се прилагат по-строги практики за управление на риска.