🌟 Atualização imperdível para quem gosta de estar bem informado!
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O que a caixa de entrada de divulgação de um mantenedor já sabe sobre a pergunta que a Lei de Resiliência Cibernética da UE está prestes a fazer a todos os fornecedores de software.
Escrito por: Shane Warden, arquiteto principal, ActiveState
No ano passado, alguém enviou um relatório de vulnerabilidade para um endereço de segurança de um projeto de software livre que ajudo a revisar. A reportagem seguiu nossas diretrizes de reportagem, com assinatura GPG e cerimônia de divulgação responsável adequada, dirigida apenas às pessoas que deveriam tê-la visto.
Continha 95 vulnerabilidades, supostamente. Levamos isso a sério, porque esse processo de segurança existe exatamente por esse motivo.
No entanto, algo parecia errado, porque quantos pesquisadores de segurança humana compilariam uma lista de 95 anos e continuariam em vez de parar em três ou quatro e pedir um envolvimento mais longo.
Dois ou três dos 95 revelaram-se reais. É uma percentagem baixa, e não importava, porque ainda tínhamos de analisar todos os 95 para encontrar os dois ou três que o faziam. Então veio o segundo e-mail: pague US$ 100 mil, ou o relatório se tornaria público na imprensa no estilo Heartbleed.
O relatório em si foi inflado. A ameaça por trás disso não era, porque o raio de ação de uma divulgação como essa é cada implantação do software afetado que um invasor pode encontrar ao examinar a Internet aberta em busca de quem ainda o executa.
Não sou a única pessoa que viu isso e acho que os problemas com os quais os mantenedores de código aberto estão enfrentando agora são os problemas que outras empresas encontrarão em breve. A realidade informal dos voluntários torna-se a realidade operacional de todo o mundo do software.
No dia 11 de setembro de 2026, algo adjacente ao que acabei de descrever deixa de ser um problema do voluntário e passa a ser um problema jurídico para um grande número de empresas.
As obrigações de comunicação da Lei de Resiliência Cibernética da UE entram em vigor nessa altura: qualquer fabricante com um produto com elementos digitais vendido na UE tem de notificar a ENISA no prazo de 24 horas após tomar conhecimento de que uma vulnerabilidade nesse produto está a ser ativamente explorada, com um relatório mais completo no prazo de 72 horas.
A parte da lei que realmente determina como você constrói e mantém o produto, os requisitos de engenharia, começa a ser aplicada em 11 de dezembro de 2027.
Isso nos dá quinze meses de “diga-nos rapidamente” antes que o resto da lei exija que provemos que construímos as coisas corretamente.
Nossa CEO, Abby Kearns, escreveu recentemente sobre essa lacuna: durante toda a extensão da pista, o CRA é funcionalmente um requisito de visibilidade, não de segurança. Concordo! Eu vivi esta parte pessoalmente: “o que foi enviado e quando soubemos que havia um problema com isso” não é uma pergunta que as equipes de conformidade responderão pela primeira vez em setembro.
Todo mantenedor de código aberto com um processo de divulgação já responde a essa pergunta, informalmente, sob pressão, com quaisquer ferramentas que eles próprios montaram, porque ninguém construiu isso para nós.
O desafio é saber o que realmente foi enviado
Já assistimos coletivamente a essa confusão antes. Quando os EUA emitiram a Ordem Executiva 14028 em 2021 e começaram a exigir listas de materiais de software (SBOMs) de fornecedores federais, muitas organizações geraram um SBOM da mesma forma que você geraria qualquer artefato de conformidade: uma vez, sob pressão de prazo, preciso para o momento exato em que foi produzido e obsoleto no momento em que alguém pediu para vê-lo novamente.
Um documento gerado em março passado, que ninguém tocou desde então, não informa o que você está executando hoje. Ele informa o que você estava executando em março. A CRA da UE é mais explícita do que a ordem executiva. O artigo 13 quer o SBOM atual.
Essa lacuna é maior do que a maioria das equipes espera. 98% dos aplicativos contêm componentes de código aberto (Black Duck, Relatório de Análise de Risco e Segurança de Código Aberto de 2026), portanto, quase todos os fabricantes que vendem na UE têm que responder a isso, e não um punhado de casos extremos.
Os fabricantes agora precisam provar o que foi enviado e quando souberam disso, com o tempo legal correndo. Os números do próprio setor sobre quanto tempo uma correção leva para chegar também não são encorajadores: o tempo médio para remediar uma vulnerabilidade alta ou crítica de aplicativo é de cerca de 55 dias (Edgescan, Relatório de estatísticas de vulnerabilidade de 2026).
A aplicação da CRA da UE viverá no intervalo entre um aviso prévio de 24 horas e um relógio de notificação completo de 72 horas e essa linha de base de remediação (Comissão Europeia, obrigações de notificação do Artigo 14 da Lei de Resiliência Cibernética).
As organizações colmatam essa lacuna de duas maneiras. Alguns estão construindo a força internamente: instrumentando seus próprios pipelines para regenerar SBOMs automaticamente, estabelecendo um processo documentado de tratamento de vulnerabilidades com um proprietário nomeado, tratando a proveniência como uma propriedade da cadeia de fornecimento de software que você constrói, e não um relatório que você monta sob pressão de auditoria.
Outros estão decidindo que derivar a origem de cada componente de código aberto que eles c
Escrito por: Shane Warden, arquiteto principal, ActiveState
No ano passado, alguém enviou um relatório de vulnerabilidade para um endereço de segurança de um projeto de software livre que ajudo a revisar. A reportagem seguiu nossas diretrizes de reportagem, com assinatura GPG e cerimônia de divulgação responsável adequada, dirigida apenas às pessoas que deveriam tê-la visto.
Continha 95 vulnerabilidades, supostamente. Levamos isso a sério, porque esse processo de segurança existe exatamente por esse motivo.
No entanto, algo parecia errado, porque quantos pesquisadores de segurança humana compilariam uma lista de 95 anos e continuariam em vez de parar em três ou quatro e pedir um envolvimento mais longo.
Dois ou três dos 95 revelaram-se reais. É uma percentagem baixa, e não importava, porque ainda tínhamos de analisar todos os 95 para encontrar os dois ou três que o faziam. Então veio o segundo e-mail: pague US$ 100 mil, ou o relatório se tornaria público na imprensa no estilo Heartbleed.
O relatório em si foi inflado. A ameaça por trás disso não era, porque o raio de ação de uma divulgação como essa é cada implantação do software afetado que um invasor pode encontrar ao examinar a Internet aberta em busca de quem ainda o executa.
Não sou a única pessoa que viu isso e acho que os problemas com os quais os mantenedores de código aberto estão enfrentando agora são os problemas que outras empresas encontrarão em breve. A realidade informal dos voluntários torna-se a realidade operacional de todo o mundo do software.
No dia 11 de setembro de 2026, algo adjacente ao que acabei de descrever deixa de ser um problema do voluntário e passa a ser um problema jurídico para um grande número de empresas.
As obrigações de comunicação da Lei de Resiliência Cibernética da UE entram em vigor nessa altura: qualquer fabricante com um produto com elementos digitais vendido na UE tem de notificar a ENISA no prazo de 24 horas após tomar conhecimento de que uma vulnerabilidade nesse produto está a ser ativamente explorada, com um relatório mais completo no prazo de 72 horas.
A parte da lei que realmente determina como você constrói e mantém o produto, os requisitos de engenharia, começa a ser aplicada em 11 de dezembro de 2027.
Isso nos dá quinze meses de “diga-nos rapidamente” antes que o resto da lei exija que provemos que construímos as coisas corretamente.
Nossa CEO, Abby Kearns, escreveu recentemente sobre essa lacuna: durante toda a extensão da pista, o CRA é funcionalmente um requisito de visibilidade, não de segurança. Concordo! Eu vivi esta parte pessoalmente: “o que foi enviado e quando soubemos que havia um problema com isso” não é uma pergunta que as equipes de conformidade responderão pela primeira vez em setembro.
Todo mantenedor de código aberto com um processo de divulgação já responde a essa pergunta, informalmente, sob pressão, com quaisquer ferramentas que eles próprios montaram, porque ninguém construiu isso para nós.
O desafio é saber o que realmente foi enviado
Já assistimos coletivamente a essa confusão antes. Quando os EUA emitiram a Ordem Executiva 14028 em 2021 e começaram a exigir listas de materiais de software (SBOMs) de fornecedores federais, muitas organizações geraram um SBOM da mesma forma que você geraria qualquer artefato de conformidade: uma vez, sob pressão de prazo, preciso para o momento exato em que foi produzido e obsoleto no momento em que alguém pediu para vê-lo novamente.
Um documento gerado em março passado, que ninguém tocou desde então, não informa o que você está executando hoje. Ele informa o que você estava executando em março. A CRA da UE é mais explícita do que a ordem executiva. O artigo 13 quer o SBOM atual.
Essa lacuna é maior do que a maioria das equipes espera. 98% dos aplicativos contêm componentes de código aberto (Black Duck, Relatório de Análise de Risco e Segurança de Código Aberto de 2026), portanto, quase todos os fabricantes que vendem na UE têm que responder a isso, e não um punhado de casos extremos.
Os fabricantes agora precisam provar o que foi enviado e quando souberam disso, com o tempo legal correndo. Os números do próprio setor sobre quanto tempo uma correção leva para chegar também não são encorajadores: o tempo médio para remediar uma vulnerabilidade alta ou crítica de aplicativo é de cerca de 55 dias (Edgescan, Relatório de estatísticas de vulnerabilidade de 2026).
A aplicação da CRA da UE viverá no intervalo entre um aviso prévio de 24 horas e um relógio de notificação completo de 72 horas e essa linha de base de remediação (Comissão Europeia, obrigações de notificação do Artigo 14 da Lei de Resiliência Cibernética).
As organizações colmatam essa lacuna de duas maneiras. Alguns estão construindo a força internamente: instrumentando seus próprios pipelines para regenerar SBOMs automaticamente, estabelecendo um processo documentado de tratamento de vulnerabilidades com um proprietário nomeado, tratando a proveniência como uma propriedade da cadeia de fornecimento de software que você constrói, e não um relatório que você monta sob pressão de auditoria.
Outros estão decidindo que derivar a origem de cada componente de código aberto que eles c
#samirnews #samir #news #boletimtec #a #verdadeira #questão #do #cra #da #ue: #o #que #foi #enviado #e #quando #você #soube?
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário