أخبار ar.wedoany.com، أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) دليلاً بعنوان "البرمجيات مفتوحة المصدر: المبادئ والممارسات الأمنية"، يوجّه الوكالات الفيدرالية في إدارة أمن البرمجيات مفتوحة المصدر، والمشاركة في المشاريع مفتوحة المصدر، وتقييم أنظمة الذكاء الاصطناعي مفتوحة المصدر.
يشير الدليل إلى أن الشيفرة المصدرية للبرمجيات مفتوحة المصدر يمكن مراجعتها بشكل مستقل، مما يقلل الاعتماد على تصريحات المورّدين ويخفّض مخاطر الارتباط بمورّد واحد؛ كما أن الإعفاء من رسوم الترخيص وتقاسم أعمال التطوير يخفضان التكاليف، كما أن الإتاحة العامة للبرمجيات الممولة من القطاع العام، عند الاقتضاء، تعزز الشفافية.
توصي CISA الوكالات بالتعامل مع البرمجيات مفتوحة المصدر كأصول برمجية عادية، وتقييم أمنها قبل الاعتماد، ومراقبتها طوال دورة حياتها. وينبغي إعطاء الأولوية للمشاريع ذات الصيانة النشطة، وفهم شروط الترخيص، والحفاظ على قائمة جرد بمكوّنات المصدر المفتوح المستخدمة.
يوصي الدليل بتتبع تبعيات البرمجيات، ومراقبة الثغرات الأمنية المُعلن عنها حديثاً، وتقييم مدى موثوقية المشاريع بشكل دوري. وتساعد قائمة مواد البرمجيات (SBOM) في تحديد المكوّنات المتأثرة عند الإعلان عن ثغرة أمنية. ويتعيّن على الوكالات تطبيق التصحيحات الأمنية في أقرب وقت ممكن؛ وعند عدم توفر تحديثات للبرمجيات المخصصة أو المشاريع مفتوحة المصدر، ينبغي الاستعداد للمساهمة بإصلاحات. وإذا بلغ المشروع نهاية دعمه أو ظلت المشكلات الأمنية دون حل، فيجب استبداله ببديل مدعوم. وتساهم الأدوات، بما في ذلك الذكاء الاصطناعي، في زيادة عدد الثغرات المكتشفة وتسريع تطوير التصحيحات، وتشجع CISA على أتمتة إدارة التبعيات ونشر التصحيحات والاختبارات الأمنية قدر الإمكان.
تشجع CISA الوكالات على المساهمة بتحسينات في المشاريع مفتوحة المصدر التي تستخدمها، بما في ذلك الإصلاحات الأمنية وتقارير الأخطاء والوثائق والنقاشات الفنية، ومشاركة التغييرات مع المجتمع، وذلك لتقليل العمل المكرر وتحسين البرمجيات وإتاحة نتائج التمويل الحكومي للعموم. وقبل المساهمة، ينبغي التأكد من أن ترخيص المشروع يسمح بالمشاركة، ومراجعة الشيفرة المصدرية والوثائق وملفات الإعداد، لمنع كشف الأسرار مثل كلمات المرور ومفاتيح التشفير وتفاصيل الأنظمة الداخلية.
أما بالنسبة للوكالات التي تطور برمجياتها بنفسها، فتشجعها CISA على النظر في الإتاحة مفتوحة المصدر منذ البداية، ما لم تمنع ذلك أسباب قانونية أو أمنية أو تشغيلية. وينبغي أن توضح قائمة جرد البرمجيات المطورة داخلياً ما إذا كان المشروع سيُتاح للعموم، أو يُشارك داخل الحكومة الفيدرالية، أو يبقى خاصاً. وقبل الإصدار، يجب فحص المعلومات الحساسة، واتباع ممارسات التطوير الآمن، واختيار الترخيص المناسب، ونشر الوثائق ودليل المساهمة وسياسة الإفصاح عن الثغرات وقائمة مواد البرمجيات (SBOM) في مستودع الشيفرة العام. وبعد الإصدار، يجب مواصلة نشر التحديثات ومعالجة المشكلات الأمنية وتحديد موعد إنهاء دعم البرمجية بوضوح. وإذا كانت البرمجية مطورة بموجب عقد مع مقاول، فيتعين على الحكومة الاحتفاظ بحقوق إعادة الاستخدام والتعديل، وإتاحة الشيفرة كمصدر مفتوح عند الاقتضاء.
تؤكد CISA على ضرورة التمييز بين أنظمة الذكاء الاصطناعي المسماة "مفتوحة المصدر" والبرمجيات مفتوحة المصدر عند تقييمها: فمن الممكن إصدار نموذج ذكاء اصطناعي بموجب ترخيص مفتوح المصدر دون الإفصاح عن بيانات التدريب. وبدون الوصول إلى بيانات التدريب وعملية التدريب، يصعب على المؤسسات تحديد مصدر النموذج، كما يصعب تقييم ما إذا كانت عملية التطوير أو المكوّنات قد تعرضت للتلاعب. وقبل النشر، ينبغي التأكد من وجود رؤية كافية لطريقة التطوير (بما في ذلك بيانات التدريب وعملية التدريب)؛ وعند عدم توفر المعلومات، يجب التعامل مع النظام كبرمجيات احتكارية مجهولة المصدر، واعتماد إدارة مخاطر أكثر صرامة.
