യൂറോപ്യൻ യൂണിയന്റെ സൈബർ പ്രതിരോധ നിയമവും ഡെവൊപ്സും

ജർമനിയില് ജീവിക്കുന്ന ഞാന് GDPR ഓരോ കമ്പനിയും വ്യക്തിഗത ഡാറ്റ കൈകാര്യം ചെയ്യുന്ന രീതി മാറ്റുന്നത് കണ്ടു. സോഫ്റ്റ് വെയര് സുരക്ഷയ്ക്കായി സമാനമായ ഒരു കാര്യം ചെയ്യാന് യൂറോപ്യന് യൂണിയന് സൈബർ പ്രതിരോധ നിയമം (സി. ആർ.എ.) തയ്യാറായിക്കഴിഞ്ഞു. പല നിയന്ത്രണങ്ങളെയും പോലെ, ഇത് നേരിട്ട് DevOps ടീമുകൾ ചെയ്യുന്ന കാര്യങ്ങളിലേക്ക് എത്തുന്നു: ആശ്രിതത്വങ്ങൾ, ദുർബലത കൈകാര്യം ചെയ്യൽ, അപ്ഡേറ്റുകൾ, പൈപ്പ്ലൈനുകൾ നിർമ്മിക്കൽ.

തുടങ്ങുന്നതിനു മുമ്പ് ഒരു ചെറിയ നിരാകരണം: ഞാനൊരു എൻജിനീയറാണ്, വക്കീലല്ല. ഇത് ടീമുകൾക്ക് എന്താണ് അർത്ഥമാക്കുന്നത് എന്നതിന്റെ എന്റെ പ്രായോഗിക വായനയാണ്. നിങ്ങളുടെ കമ്പനിയുടെ പ്രത്യേക ബാധ്യതകളെക്കുറിച്ച്, നിങ്ങളുടെ നിയമപരവും പാലിക്കൽ ആളുകളുമായി സംസാരിക്കുക.

നിയമം പറയുന്നത്, വ്യക്തമായ വാക്കുകളില്

സി. ആർ. എ. സി. സി. "ഡിജിറ്റൽ ഘടകങ്ങളുള്ള ഉത്പന്നങ്ങൾ" യൂറോപ്യൻ യൂണിയനിൽ വിറ്റു. അത് പലതും ഉൾക്കൊള്ളുന്നു: സോഫ്റ്റ്വെയർ, ആപ്ലിക്കേഷനുകൾ, കണക്ട് ചെയ്ത ഉപകരണങ്ങൾ, ഫേംവെയർ എന്നിവയും മറ്റു ഉത്പന്നങ്ങളിൽ ഉപയോഗിക്കുന്ന പല ഘടകങ്ങളും.

പ്രധാന ആശയം: സോഫ്റ്റ്വെയറിനെ യൂറോപ്യൻ യൂണിയന് വിപണിയിൽ എത്തിക്കാന് നിങ്ങള് ഉത്തരവാദിത്തം വഹിക്കുന്നു ജീവിതകാലം മുഴുവൻ, റിലീസ് ദിവസം മാത്രമല്ല. അതിനർത്ഥം:

• ഡിസൈനില് നിന്നും സ്ഥിരസ്ഥിതിയില് നിന്നും സുരക്ഷിതം: റിലീസ് സമയത്ത് അറിയപ്പെടുന്ന ദുർബലമായ ദോഷങ്ങളൊന്നുമില്ല, സുരക്ഷിത സ്ഥിരസ്ഥിതി ക്രമീകരണം, ഡാറ്റാ സംരക്ഷണം, ആക്രമണത്തിന്റെ ഉപരിതലത്തിന്റെ പരിമിതപ്പെടുത്തൽ.
• ദുർബലത കൈകാര്യം ചെയ്യൽ: ഒരു നിശ്ചിത പിന്തുണാ കാലയളവിൽ (സാധാരണയായി കുറഞ്ഞത് അഞ്ചുവർഷം, അല്ലെങ്കിൽ കുറഞ്ഞത് പ്രതീക്ഷിക്കുന്ന ഉൽപ്പന്ന ജീവിതകാലം) സുരക്ഷിതത്വ അപ്ഡേറ്റുകൾ സ്വീകരിക്കുന്നതിനും വിലയിരുത്തുന്നതിനും പരിഹരിക്കുന്നതിനുമുള്ള ഒരു പ്രക്രിയ.
• എസ്. ബി. ഒ. എം. കൾ: നിങ്ങളുടെ ഉത്പന്നത്തിലെ ഘടകങ്ങളെ രേഖപ്പെടുത്തുക, കുറഞ്ഞത് മുകളിലെ തലത്തിലുള്ള ആശ്രയത്വങ്ങളെങ്കിലും, യന്ത്രം വായിക്കാൻ കഴിയുന്ന ഫോർമാറ്റിൽ.
• റിപ്പോർട്ടിംഗ്: സജീവമായി ചൂഷണം ചെയ്യപ്പെട്ട ദുർബലകേടുകളും ഗുരുതരമായ സംഭവങ്ങളും നിയന്ത്രിത സമയപരിധിക്കുള്ളിൽ അധികാരികൾക്ക് റിപ്പോർട്ട് ചെയ്യുക.
• ഡോക്യുമെന്റേഷനും അനുരൂപതയും: സാങ്കേതിക രേഖകൾ, മിക്ക ഉൽപ്പന്നങ്ങളുടെയും സ്വയം വിലയിരുത്തൽ, ചില നിർണായക വിഭാഗങ്ങളുടെ കൂടുതൽ കർശനമായ വിലയിരുത്തല്. അനുയോജ്യമായ ഉത്പന്നങ്ങള് ക്ക് സിഇ അടയാളം നല് കിയിട്ടുണ്ട്.

പ്രാധാന്യമുള്ള തീയതികൾ

• 2024 ഡിസംബർ: ക്രെഡിറ്റ് റേറ്റിംഗ് ഏജൻസി പ്രാബല്യത്തിൽ വന്നു.
• 2026 സെപ്റ്റംബർ 11: റിപ്പോർട്ടിംഗ് ബാധ്യതകൾ ബാധകമാണ്. നിർമ്മാതാക്കൾക്ക് എൻഐഎസിയുടെ ഏകീകൃത റിപ്പോർട്ടിംഗ് പ്ലാറ്റ്ഫോം വഴി സജീവമായി ചൂഷണം ചെയ്യപ്പെട്ട ദുർബലകേടുകളും ഗുരുതരമായ സംഭവങ്ങളും റിപ്പോർട്ട് ചെയ്യണം. 24 മണിക്കൂറിനകം നേരത്തെ മുന്നറിയിപ്പ്, 72 മണിക്കൂറിനുള്ളിൽ കൂടുതൽ വിശദമായ അറിയിപ്പ്, അന്തിമ റിപ്പോർട്ട് പിന്നീട്.
• 2027 ഡിസംബർ 11 ന്: ബാക്കി ആവശ്യകതകൾ ബാധകമാണ്, അവശ്യ സുരക്ഷാ ആവശ്യകതകളും അനുരൂപതാ വിലയിരുത്തലും ഉൾപ്പെടെ.

റിപ്പോർട്ടിംഗ് ഭാഗം ഇതിനകം തന്നെ സജീവമാണ്. അടുത്ത വര് ഷം മുഴുവൻ സെറ്റും വരും.

ക്രൈന് റെസ്റ്റിന് റെ വകുപ്പ് "ഞങ്ങള് അത് ഒടുവിൽ ശരിയാക്കും" എന്ന വാക്ക് നിയമപരമായ ബാധ്യതയായി മാറ്റുന്നു.

ഓപ്പൺ സോഴ്സിനെ കുറിച്ച് എന്തു പറയുന്നു?

ഇത് രചന സമയത്ത് കടുത്ത ചർച്ചയായിരുന്നു. അവസാന വാചകത്തില് ഓപ്പണ് സോഴ്സ് ഡെവലപ്പര് മാരെ സംരക്ഷിക്കാന് ശ്രമിക്കുന്നു:

• വികസിപ്പിച്ചെടുത്തതും പങ്കിട്ടതുമായ ഓപ്പൺ സോഴ്സ് സോഫ്റ്റ്വെയർ വാണിജ്യപരമായ പ്രവർത്തനമില്ലാത്ത സാധാരണയായി ഈ പരിധിക്ക് പുറത്താണ്.
• പുതിയ പങ്ക്, ഓപ്പൺ സോഴ്സ് സോഫ്റ്റ്വെയർ സ്റ്റുവർ (ഉദാഹരണത്തിന് വാണിജ്യപരമായി ഉപയോഗിക്കുന്ന പദ്ധതികളെ പിന്തുണയ്ക്കുന്ന ഫൌണ്ടേഷനുകൾക്ക്) ഭാരം കുറഞ്ഞ ബാധ്യതകളുണ്ട്.
• തങ്ങളുടെ വാണിജ്യ ഉത്പന്നങ്ങളിൽ ഓപ്പൺ സോഴ്സ് ഉപയോഗിക്കുന്ന കമ്പനികൾ അവരുടെ ഉത്പന്നത്തിന്റെ ഭാഗമായി ആ ഘടകങ്ങളുടെ ഉത്തരവാദിത്തം ഏറ്റെടുക്കുന്നു. ഒരു ലൈബ്രറി ഉപയോഗിക്കുന്നത് അതിന്റെ പരിപാലകരുടെ ഉത്തരവാദിത്തം മാറ്റുന്നില്ല.

അവസാനത്തെ കാര്യം നമ്മളില് മിക്കവര് ക്കും പ്രധാനമാണ്: നിങ്ങളുടെ ആശ്രിതത്വം ഇപ്പോൾ നിങ്ങളുടെ ഉത്തരവാദിത്തമാണ്.

എന്റെ പൈപ്പ്ലൈനിൽ എന്ത് മാറ്റങ്ങൾ

നല്ലൊരു സർപ്രൈസ്: സിആർഎ ആവശ്യപ്പെടുന്ന പലതും നല്ല ഡെവ് സെക്കോപ്സ് ടീമുകൾ ഇതിനകം ചെയ്യുന്നതും അല്ലെങ്കിൽ ചെയ്യേണ്ടതും ആണ്. അത് നിർബന്ധമായും രേഖപ്പെടുത്തപ്പെട്ടതുമായി മാറുന്നു.

• എസ്. ബി. ഒ. എം. ഓരോ റിലീസിലും (സിഫ്റ്റ്, ട്രിവി, സൈക്ലോൺ ഡിഎക്സ് ടൂളുകൾ), സംഭരിച്ചതും പതിപ്പുകളും.
• തുടർച്ചയായ ദുർബലത സ്കാനിംഗ് പുതിയതായി കണ്ടെത്തിയ ദുർബലതകൾ പഴയ പതിപ്പുകളിൽ കണ്ടെത്താൻ സാധിക്കും.
• ദുർബലത വെളിപ്പെടുത്തൽ നയം ഗവേഷകർക്ക് പ്രശ്നങ്ങളെക്കുറിച്ച് റിപ്പോർട്ട് ചെയ്യാനുള്ള ഒരു മാർഗവും (ഒരു security.txt, ഒരു സുരക്ഷാ കോൺടാക്റ്റ്, ഒരു SECURITY.md).
• ഒരു നിർദ്ദിഷ്ട പിന്തുണാ കാലയളവ് ഓരോ ഉത്പന്ന പതിപ്പിനും സുരക്ഷാ അപ്ഡേറ്റുകൾ വേഗത്തിൽ വിതരണം ചെയ്യാനുള്ള കഴിവ്.
• ഒപ്പിട്ട വസ്തുക്കളും നിർമ്മാണത്തിന്റെ ഉത്ഭവവും, നിങ്ങള് കയറ്റുന്നതിന്റെ സമഗ്രത കാണിക്കാന് .
• സുരക്ഷിത സ്ഥിരസ്ഥിതികൾ നിങ്ങളുടെ ഉത്പന്നങ്ങളിൽ: സ്ഥിരസ്ഥിതി പാസ്വേഡുകളില്ല, തുറന്ന പോർട്ടുകൾ വളരെ കുറവാണ്, എൻക്രിപ്ഷൻ ഓണാണ്.
• ഒരു സംഭവവും റിപ്പോർട്ടിംഗ് പ്രക്രിയയും ആക്രമിക്കപ്പെട്ട ദുർബലകേടുകൾക്കായി 24 മണിക്കൂർ സമയപരിധി പാലിക്കാവുന്നതാണ്. ആര് തീരുമാനിക്കുന്നു? ആരാണീ റിപ്പോർട്ട് ചെയ്യുന്നത്? അത് പരിശീലിക്കുക.
• രേഖകൾ മുകളിൽ പറഞ്ഞവയെല്ലാം.

ഒരു ചെക്ക് ലിസ്റ്റ്

1. നിങ്ങളുടെ ഉത്പന്നങ്ങൾ പരിധിയിൽ വരുന്നോ, ഏത് വിഭാഗത്തിലാണെന്നും കണ്ടെത്തുക (മിക്കതും സ്വയ വിലയിരുത്തൽ വിഭാഗത്തിലാണ്).
2. ഓരോ റിലീസിലും എസ്. ബി. ഒ. എം. സൃഷ്ടിക്കുകയും സംഭരിക്കുകയും ചെയ്യുക.
3. വിതരണം ചെയ്ത പതിപ്പുകളുടെ തുടർച്ചയായ ദുർബലത നിരീക്ഷണം സജ്ജമാക്കുക.
4. ഒരു ദുർബലത വെളിപ്പെടുത്തൽ നയവും സുരക്ഷാ ബന്ധവും പ്രസിദ്ധീകരിക്കുക.
5. പിന്തുണാ കാലയളവുകള് നിർണയിക്കുകയും അറിയിക്കുകയും ചെയ്യുക.
6. 24 മണിക്കൂറിനകം ദുർബലമായ സ്ഥലങ്ങളെക്കുറിച്ച് റിപ്പോർട്ട് ചെയ്യാനുള്ള ഒരു പ്രക്രിയ സൃഷ്ടിക്കുക.
7. സുരക്ഷാ അപ്ഡേറ്റുകൾ എളുപ്പത്തിൽ വിതരണം ചെയ്യാനും സാധ്യമാകുന്നിടത്തോളം ഫീച്ചർ അപ്ഡേറ്റ്സ് വേർതിരിക്കാനും.
8. നിങ്ങളുടെ സുരക്ഷിത വികസന രീതികൾ രേഖപ്പെടുത്തുക.
9. നിങ്ങളുടെ ആശ്രിതത്വം പരിശോധിക്കുക: പരിപാലിക്കപ്പെടാത്ത ഘടകങ്ങള് ഇപ്പോൾ ഒരു ബാധ്യതയാണ്.

അപ്പോൾ, ഡെവൊപ്സ് ടീമുകൾ ശ്രദ്ധിക്കണോ?

വളരെ അധികം. സിആര് എ നമ്മുടെ പൈപ്പ്ലൈനില് തന്നെ എത്തിച്ചേരുന്നു. എസ്.ബി.ഒ.എമ്മുകൾ, സ്കാനിംഗ്, ഒപ്പിടൽ, വേഗത്തിലുള്ള പാച്ച് എന്നിവ ഓട്ടോമേറ്റ് ചെയ്യുന്ന ടീമുകൾക്ക് അനുസരണം താരതമ്യേന എളുപ്പമായി കാണും. ഒരു വർഷം കൊണ്ട് പിടി കിട്ടാത്ത ടീമുകൾ.

എന്റെ അഭിപ്രായം: ക്രയവിക്രയ നിയന്ത്രണം ഒരു നിയന്ത്രണമാണ്, പക്ഷെ മിക്കതും നല്ലൊരു എൻജിനീയറിങ്ങാണ്. ആ ശീലങ്ങൾ ഇപ്പോൾ തന്നെ വളര് ത്തിയെടുക്കുക, അനുസരണം ഒരു പാർശ്വഫലമായി മാറും.

ഡെസ്ലി