Barry O’Donovan: a CRA muda de papel por produto

Resumo

A CRA considera como um produto específico é fornecido e mantido. Barry O’Donovan diz que uma organização pode ser administradora de software de código-fonte aberto (open-source software steward no texto da CRA) na edição gratuita e fabricante na versão paga.
O rótulo de entidade sem fins lucrativos não resolve a classificação. Operadores ainda precisam mapear cada produto, seu canal de vulnerabilidades e o caminho até a correção.

Um projeto pode distribuir código aberto sem cobrar e vender uma edição com recursos extras. A CRA pode atribuir papéis diferentes a cada produto. Essa é a leitura prática de Barry O’Donovan: a função acompanha o produto, não a placa da organização.

O’Donovan lidera o desenvolvimento do IXP Manager na INEX. Em RIPE 93, numa apresentação sobre cadeia de software, ele levou a discussão para o ponto que interessa aos operadores: quando um ponto de troca ou uma rede depende de software aberto, que trabalho de segurança pode esperar do projeto mantenedor?

A orientação atual da Comissão Europeia separa fabricante de administradora de software de código-fonte aberto. O fabricante que coloca um produto aberto no mercado assume as obrigações de fabricante. Já uma pessoa jurídica que não coloca o produto no mercado, mas apoia de forma sistemática e contínua um produto aberto específico destinado a atividades comerciais e ajuda a garantir sua continuidade, pode ser considerada administradora de software de código-fonte aberto. Esse papel inclui política de cibersegurança, tratamento de vulnerabilidades e cooperação com autoridades de fiscalização do mercado.

O’Donovan usou o exemplo de um projeto que oferece a edição aberta gratuitamente e cobra por uma edição com funções adicionais. Na leitura dele, a mesma organização pode ser administradora de software de código-fonte aberto da primeira e fabricante da segunda. A Comissão também organiza a regra em torno de produtos concretos e de como são fornecidos. É uma unidade de análise melhor do que atribuir um rótulo CRA permanente a uma fundação, empresa ou equipe.

A lei também impede atalhos. Receber apoio de empresas, aceitar contribuições ou lançar versões regulares não transforma, por si só, um produto aberto em atividade comercial. O regulamento prevê que o desenvolvimento por uma entidade sem fins lucrativos não é comercial quando a receita líquida, depois dos custos, é destinada aos objetivos sem fins lucrativos. Preço, responsabilidade pelo produto, apoio contínuo e uso comercial pretendido precisam ser avaliados em conjunto.

O’Donovan apontou o IXP Manager como exemplo prático. Disse que a INEX considera o projeto enquadrado na categoria de administradora de software de código-fonte aberto e que publicou políticas de desenvolvimento seguro e divulgação de vulnerabilidades depois de outros pontos de troca pedirem evidências para suas avaliações de fornecedores. Também explicou que a INEX é uma entidade sem fins lucrativos e cobra por portas de conexão. Essa é a leitura operacional da organização, não uma decisão de uma autoridade sobre o IXP Manager. A regra pública continua dependendo do produto e do papel real da entidade.

Para operadores sujeitos à NIS2, o rótulo do fornecedor não substitui a própria gestão da cadeia. O artigo 21 trata da segurança de fornecedores e da aquisição, desenvolvimento e manutenção de sistemas, incluindo o tratamento e a divulgação de vulnerabilidades. O’Donovan recomendou manter inventário de software, acompanhar falhas e estabelecer uma política de correções em prazo definido.

Na sessão de perguntas, ele previu casos evidentes e uma faixa cinzenta que pode acabar nos tribunais. Para cada dependência, o operador precisa saber quem controla as versões, quem recebe os relatos, quem consegue publicar uma correção e qual edição está em uso. Se o modelo comercial mudar, o papel legal também pode mudar. Um inventário que guarda só o nome da organização não percebe a troca.