Prioridades de la Cumbre de OpenSSF sobre la seguridad del software de código abierto de 2023

Snyk participa activamente desde hace mucho tiempo en la Open Source Security Foundation (OpenSSF) y la patrocina. Lo hacemos porque creemos en apoyar su misión de proteger el ecosistema de código abierto.

Una reciente reunión cumbre convocada por OpenSSF y la Casa Blanca reunió a varios departamentos del Gobierno de Estados Unidos para conversar sobre la seguridad del software de código abierto. El contexto es que el Gobierno de Estados Unidos entiende la importancia de proteger el ecosistema de código abierto, porque reconoce que «el software de código abierto es una herramienta fundamental que permite transferir el poder a quienes protegen la democracia y demostrar nuestros valores», como dijo Kemba Walden, directora nacional interina de Ciberseguridad de la Casa Blanca. 

Las tres prioridades principales que surgieron de esta reunión cumbre fueron:

1. Brindar educación en seguridad a quienes mantienen, contribuyen y usan software de código abierto

2. Proteger los repositorios de software de código abierto

3. Habilitar capacidades de respuesta a incidentes (IR) de software de código abierto entre distintas industrias

He estado trabajando junto con otros miembros de OpenSSF para ayudar a publicar una serie de pautas que aborden el segundo punto de esta lista: proteger los repositorios de software de código abierto.

Las plataformas SCM se usan para la colaboración entre desarrolladores, la participación de la comunidad y como parte del proceso de compilación y lanzamiento de muchos componentes y herramientas clave de software de código abierto. No es de extrañar que, en esta conversación, los repositorios SCM surgieran como uno de los principales puntos de apoyo para mejorar la seguridad del software de código abierto.

La Guía de buenas prácticas para la gestión del código fuente, publicada a principios de este mes, ofrece pautas claras para configurar y mantener la seguridad a los desarrolladores, responsables del mantenimiento y organizaciones que usan las plataformas SCM GitHub y GitLab. Al combinarla con OpenSSF Scorecard, los desarrolladores obtienen una lista de verificación integral y las organizaciones que administran varios repositorios de código abierto reciben orientación para configurar permisos, flujos de trabajo y políticas que mejoren la seguridad.

Ha sido excelente colaborar en este trabajo con quienes lo codirigen: Christine Abernathy, de F5, y Noam Dotan, de Legit Security. Y aún no terminamos. Esta es la primera versión de estas pautas. Esperamos incorporar otras plataformas SCM y los comentarios de la comunidad, ya que la guía misma, por supuesto, se administra en un repositorio de código abierto.

Para conocer más sobre lo que sucede en OpenSSF, sigue a @openssf@social.lfx.dev en Mastodon.