« Assurer la sécurité des logiciels open source : De qui est-ce la responsabilité, de toute façon ? »

Le gouvernement américain et certaines des plus grandes fondations open source et dépôts de packages ont annoncé une série d’initiatives visant à améliorer la sécurité de la chaîne d’approvisionnement logicielle, tout en répétant l’appel aux développeurs pour qu’ils soutiennent davantage de tels efforts. Du côté du gouvernement, cela inclut un programme volontaire de partage de renseignements sur les menaces entre les autorités fédérales et les développeurs et opérateurs de logiciels open source, que l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) dirigera. « Nous voulons aider à favoriser une collaboration en temps réel autour des incidents de sécurité », a expliqué la directrice de la CISA, Jen Easterly, lors d’une allocution à l’occasion du Sommet sur la sécurité des logiciels open source de l’agence cette semaine. Easterly a utilisé son discours pour annoncer de nouvelles collaborations public-privé. « Nous reconnaissons que travailler avec cette communauté sera un peu différent de la façon dont nous travaillons habituellement avec les entreprises, surtout compte tenu des complexités internationales uniques en jeu en raison de la nature mondiale de l’open source », a-t-elle noté, ajoutant : « Par conséquent, votre participation et vos retours seront essentiels pour garantir la réussite de cette initiative. »