Решения с открытым исходным кодом, или open source, широко распространены как в IT-сфере, так и во многих крупных организациях. Опенсорс предоставляет возможность повторного использования, модификации и устранения ошибок в коде, что в свою очередь способствует ускорению инноваций и экономии средств. Однако у него есть некоторые недостатки, связанные с распределенной ответственностью за разработку и сопровождение. Приложения с открытым кодом требуют надлежащего внедрения, иначе организации могут столкнуться с рядом угроз безопасности. Поговорим о том, как обеспечить безопасность таких решений, сведя угрозы к минимуму.
Основные риски при разработке ПО
Использование открытого кода сопряжено с рисками, перечислим основные.
Технические:
- дефекты, уязвимости в коде;
- недостаточная техническая поддержка или ее отсутствие;
- медленные или несвоевременные обновления.
Юридические:
- несоблюдение требований открытых лицензий;
- нарушения прав интеллектуальной собственности.
Риски безопасности:
- открытая природа open source может сделать код уязвимым для атак;
- отсутствие централизованного контроля качества.
Уровень риска для каждого решения зависит от следующих факторов:
- зрелости проекта;
- условий лицензии;
- наличия коммерческой поддержки;
- практик разработки и управления проектами;
- соблюдения стандартов безопасности и качества.
Организациям необходимо тщательно оценивать слабые места каждого открытого решения, прежде чем внедрять его в свою IT-среду. Это включает в себя рассмотрение следующих факторов:
- критичность приложения;
- доступные ресурсы для управления рисками;
- возможные последствия нарушения безопасности.
Принимая обоснованные решения и реализуя соответствующие меры по снижению рисков, организации могут использовать преимущества открытого кода, одновременно минимизируя связанные с ним угрозы безопасности.
Методы оценки рисков
Работа с открытым программным обеспечением сопряжена с рисками, и для эффективного управления необходимо их объективно оценивать. Перечислим основные методы такой оценки:
- анализ уязвимостей — определение известных уязвимостей в используемом открытом коде;
- определение репутационных рисков — оценка потенциального негативного воздействия на репутацию в случае обнаружения серьезных недостатков в коде;
- анализ влияния зависимости — определение компонентов, от которых зависит приложение, оценка рисков, связанных с их обновлением или снятием с производства;
- проверка на соответствие действующим законодательным нормам, правилам, отраслевым стандартам;
- определение лицензионных рисков — оценка потенциальных юридических и финансовых последствий использования кода open source, если потребуется уплата роялти или лицензионных сборов.
Также стоит учитывать еще несколько дополнительных нюансов:
- рассмотрите факторы, влияющие на репутацию конкретного поставщика;
- организуйте процесс регулярного обновления и исправления кода open source;
- станьте членом сообщества open source, чтобы быть в курсе последних событий и обновлений.
Описание методик оценки: SWOT, PEST, анализ ЧПИ
SWOT-анализ — это метод оценки сильных и слабых сторон, возможностей и угроз, связанных с использованием открытого программного обеспечения. Он помогает организациям принимать обоснованные и объективные решения, например, следует ли использовать open source и как управлять сопутствующими рисками.
PEST-анализ оценивает внешние факторы, которые могут повлиять на использование open source: политические, экономические, социальные, технологические. Он помогает организациям понять более широкий контекст, в котором они используют ПО, и на основе этого адаптировать свои стратегии.
Анализ ЧПИ (чистого приведенного инвестиционного дохода) оценивает финансовую целесообразность использования приложений с открытым кодом. Он учитывает затраты на приобретение, развертывание, поддержку решений, а также потенциальную экономию средств по сравнению с использованием коммерческого (проприетарного) ПО.
Как использовать эти методики:
- SWOT-анализ — определите сильные и слабые стороны использования open source в вашей организации, а также возможности и угрозы, связанные с внешней средой;
- PEST-анализ — отслеживайте внешние факторы, которые могут повлиять на выбор ПО, такие как изменения в нормативных актах, экономические условия, технологические тенденции;
- анализ ЧПИ — сравните стоимость использования опенсорсных решений с затратами на использование закрытого коммерческого программного обеспечения, включая стоимость затрат на поддержку и обслуживание.
Стратегии снижения рисков
- Тщательно оценивайте код, включая анализ уязвимостей, проверку соответствия, лицензионные риски;
- управляйте зависимостями, регулярно обновляйте и исправляйте их;
- участвуйте в сообществах open source для получения обновлений и обсуждения вопросов безопасности;
- создавайте резервные копии и внедряйте планы восстановления на случай сбоев;
- сотрудничайте с поставщиками для поддержки и исправлений проблем безопасности;
- используйте коммерческую поддержку для критически важного кода;
- внедряйте процессы проверки кода для выявления и устранения уязвимостей;
- обучайте сотрудников лучшим практикам опеспечения безопасности при использовании open source решений.
Примеры из практики
Приведем практический пример управления рисками при работе с open source. ПО с открытым исходным кодом уязвимо для внешних угроз, но обнаруживать проблемы с безопасностью в нем проще из-за доступности исходного кода. Это преимущество может быть усилено за счет создания доверенного репозитория компонентов с открытым исходным кодом. Службы информационной безопасности могут проверять и фильтровать компоненты в репозитории, облегчать использование безопасных надежных библиотек, таким образом управляя рисками, связанными с выбором опенсорсных решений.
Роль культуры безопасности и обучения
Обучение и культура безопасности играют решающие роли в снижении рисков, связанных с использованием софта с открытым кодом. Сильная культура безопасности характеризуется следующими чертами:
- осознание рисков, связанных с использованием софта;
- ответственность за безопасность на всех уровнях организации;
- поощрение открытого диалога о проблемах безопасности;
- постоянное совершенствование практик безопасности.
Обучение должно проводиться регулярно, быть адаптировано к конкретным потребностям организации и команды. Для этого можно выбрать различные форматы, например, очные занятия, вебинары, онлайн-курсы, совместная работа над документацией.
Инвестируя в обучение и культуру безопасности, организации могут воспитать в сотрудниках ответственность за безопасное использование ПО. Это приведет к снижению рисков и повышению общей устойчивости IT-систем. Сотрудничество с сообществом разработчиков open source может помочь быстро обнаруживать и устранять уязвимости. И хотя открытый исходный код потенциально более уязвим для внешних угроз, преимущества прозрачности и совместного аудита перевешивают эти недостатки.