{"id":11653,"date":"2025-10-29T15:08:54","date_gmt":"2025-10-29T18:08:54","guid":{"rendered":"https:\/\/www.flane.com.pa\/blog\/?p=11653"},"modified":"2025-11-18T11:43:37","modified_gmt":"2025-11-18T14:43:37","slug":"cra-ue-seguranca-de-codigo-aberto","status":"publish","type":"post","link":"https:\/\/www.flane.com.pa\/blog\/pt\/cra-ue-seguranca-de-codigo-aberto\/","title":{"rendered":"CRA da UE e seguran\u00e7a de c\u00f3digo aberto: o que muda (e por qu\u00ea)"},"content":{"rendered":"

Do esfor\u00e7o comunit\u00e1rio ao mandato legal<\/h3>\n

O mundo digital roda em software de c\u00f3digo aberto. Ele est\u00e1 nos apps do dia a dia e na infraestrutura que sustenta servi\u00e7os cr\u00edticos. Essa onipresen\u00e7a, por\u00e9m, elevou a r\u00e9gua de seguran\u00e7a. Incidentes como SolarWinds e a falha no XZ Utils evidenciaram que o problema n\u00e3o \u00e9 te\u00f3rico. A comunidade open source tem hist\u00f3rico de colabora\u00e7\u00e3o e resili\u00eancia, mas um novo movimento regulat\u00f3rio est\u00e1 redistribuindo responsabilidades. O Ato de Resili\u00eancia Cibern\u00e9tica da Uni\u00e3o Europeia (CRA) chega para exigir seguran\u00e7a ao longo de todo o ciclo de vida de produtos de hardware e software com elementos digitais comercializados na UE.<\/p>\n

Durante d\u00e9cadas, a seguran\u00e7a em open source foi tratada como um esfor\u00e7o compartilhado: mantenedores e colaboradores cuidavam do \u201crio acima\u201d (upstream), enquanto muitas empresas consumiam componentes e s\u00f3 adicionavam \u201cremendos\u201d perto do lan\u00e7amento. Essa abordagem tardia limitou a ado\u00e7\u00e3o de pr\u00e1ticas como seguran\u00e7a da cadeia de suprimentos. O argumento \u201csempre funcionou assim\u201d ignora um ponto b\u00e1sico: seguran\u00e7a n\u00e3o elimina riscos; dificulta a vida do atacante quando o ataque acontece.<\/p>\n

O CRA busca corrigir esse descompasso. A lei define obriga\u00e7\u00f5es de seguran\u00e7a por design e por padr\u00e3o a fabricantes ao longo do ciclo do produto. A aplica\u00e7\u00e3o completa est\u00e1 prevista para dezembro de 2027, mas obriga\u00e7\u00f5es de reportede vulnerabilidades exploradas e incidentes graves come\u00e7am j\u00e1 em setembro de 2026. O intervalo entre a publica\u00e7\u00e3o dos documentos de implementa\u00e7\u00e3o e a fiscaliza\u00e7\u00e3o ser\u00e1 curto. Portanto, \u00e9 hora de entender a inten\u00e7\u00e3o da lei \u2014 e o que ela significa para todo o ecossistema open source.<\/p>\n

Responsabilidade compartilhada, de fato<\/h3>\n

A ambi\u00e7\u00e3o do CRA \u00e9 acelerar, em poucos anos, pr\u00e1ticas que a ind\u00fastria vem discutindo h\u00e1 d\u00e9cadas. Ele tamb\u00e9m joga luz sobre novas obriga\u00e7\u00f5es de stewardship (tutela\/zeladoria). Pela primeira vez, surge em lei europeia a figura do Open Source Software Steward. Ainda que projetos comunit\u00e1rios, sem monetiza\u00e7\u00e3o direta, fiquem tecnicamente fora do escopo, a pr\u00e1tica \u00e9 mais sutil: sempre que empresas ou indiv\u00edduos monetizam tecnologias abertas incorporando projetos upstream, esses projetos passam a orbitar a esfera do CRA \u2014 direta ou indiretamente.<\/p>\n

Isso tem gerado um choque cultural. Mesmo antes do CRA, alguns projetos recebiam pedidos de \u201ccompliance\u201d sem compreens\u00e3o de como o desenvolvimento aberto funciona. Agora, multiplicam-se solicita\u00e7\u00f5es com mentalidade de \u201cchecklist\u201d que deslocam o \u00f4nus para os mantenedores, em vez de as empresas implementarem os controles de que precisam \u2014 ou contribu\u00edrem tais melhorias de volta ao upstream. Esse equ\u00edvoco deturpa o modelo de responsabilidade compartilhada, no qual o adotante de open source deve assegurar a seguran\u00e7a necess\u00e1ria na forma como usa o software.<\/p>\n<\/div><\/div>

<\/div>