Dvadeset i četiri sata

Jer evo u čemu je fora koju Bruxelles nije baš najbolje objasnio: ne možeš prijaviti ranjivost koju ne razumiješ, a ne možeš razumjeti ranjivost ako ne znaš što si točno isporučio. Zvuči jednostavno, zar ne? Pa onda objasni zašto pola industrije još uvijek drži software inventory u Excel tablici koju je zadnji put netko ažurirao prije dvije godine, dok je onaj tko ju je kreirao otišao raditi za konkurenciju. Nije drago. Nije slučajno. Nije greška.

Cijela priča oko Cyber Resilience Acta na kraju se svodi na jedno pitanje koje zvuči jednostavno, a zapravo je najteže u cijeloj informatici: što je točno otpremljeno i kada si za to saznao? Ne kada si mislio da znaš. Ne kada ti je prodavač knjižnice rekao da je sve u redu. Nego kada si stvarno, duboko u sebi, uz kavu u osam ujutro i pogled na logove koje nitko nije gledao mjesecima, shvatio da je nešto pošlo po zlu.

Vidite, EU je napravila nešto što se u mom svijetu zove dijagnoza bez pregleda pacijenta. Propisali su terapiju — prijavi ranjivost u roku od 24 sata, objavi sigurnosno ažuriranje kad zatreba — a da nisu pitali temeljno pitanje: ima li pacijent uopće medicinski karton? Jer većina softverskih kompanija, pogotovo onih koje su rasle na brzinu, nema pojma što se sve nalazi u njihovom proizvodu. Imaju repozitorij koda, imaju CI/CD pipeline, imaju nekoga tko je čuo za SBOM — ali nemaju ono što bi svaka ozbiljna firma trebala imati: točan popis svake komponente, svake knjižnice, svakog frameworka koji je ušao u zadnju verziju i tko ga je uopće ubacio tamo.

Sjećam se devedesetih, kad smo radili Kvarner Net i držali servere u prostoriji koja je mirisala na cigarete i ozon. Bilo je jednostavnije. Znao si svaki kabel, svaki paket, svakog korisnika. Danas kompanije imaju više dependencyja u jednom Node.js projektu nego što je cijela naša mreža imala korisnika, a pitanje "tko je ovo dodao u produkciju" izaziva pogled u pod koji traje dulje od sastanka na kojem se odlučuje o budžetu. I sad ti netko iz Bruxellesa kaže: imaš 24 sata da nam javiš da je netko našao rupu u toj stvari koju si slučajno ubacio prije tri godine i za koju si mislio da je samo još jedan npm paket.

Ako mislite da pretjerujem, pogledajte što se događa u stvarnom svijetu. Kompanije koje su desetljećima gradile software na principu "radi dok ne pukne" sada se suočavaju s regulatornim okvirom koji zahtijeva nešto što nikada nisu imale: dokumentiranu svijest o vlastitom proizvodu. Ne radi se o tome da su zlonamjerne. Radi se o tome da su neuki, a neuki su jer je tako lakše. Brže je. Jeftinije je. Do trenutka kada postane skupo, već je prekasno.

I tu dolazimo do najljepšeg dijela ove cijele komedije. EU je dala rok do rujna, a softverska industrija se ponaša kao student koji je saznao da ima ispit za tjedan dana, a nije otvorio knjigu cijeli semestar. Panika je vidljiva na svakom tech konferencijskom panelu, u svakom blog postu konzultantskih kuća koje su preko noći postale stručnjakinje za CRA usklađenost. I svi prodaju isto: alat za SBOM, alat za inventory, alat za praćenje. Kao da je problem u tome što nemate pravi alat, a ne u tome što vam je proces razvoja desetljećima bio kaos koji je funkcionirao isključivo zato što nitko nije pitao teška pitanja.

A teška pitanja su, naravno, jedina koja vrijede. Koji kurac je u ovom container imageu? Pas mater, tko je to buildao? I zašto, zašto itko misli da će vam regulatorni rok od 24 sata pomoći kada ne znate odgovor na pitanje koje si morate postaviti prije nego što uopće počnete brojati sate?

Najbolji dio? Oni koji su već prošli kroz ovu vrstu bola znaju da rješenje nije u alatu. Rješenje je u kulturi. U tome da netko u firmi ima ovlasti reći "ne" kad developeri žele ubaciti još jednu knjižnicu jer je "brže". U tome da postoji osoba koja zna što je u produkciji i koja može u roku od sat vremena reći koji je točno paket ranjiv, koje verzije su pogođene i tko je uopće dirao taj dio koda. To nije tehnologija. To je disciplina. A disciplina se ne kupuje pretplatom.

I zato će, vjerujte mi, prvi mjeseci nakon rujna biti spektakularni. Kompanije će otkrivati da nemaju pojma što su isporučile, regulatorne agencije će slati upite, odvjetnici će trljati ruke, a konsultanti će naplaćivati sate objašnjavajući ono što je trebalo biti jasno od početka: ne možeš upravljati rizikom kojeg ne razumiješ. Bit će to kao kad je netko prvi put pokušao uvesti HACCP u kuhinju koja je desetljećima radila na osjećaj — svi su znali da treba nešto napraviti, ali nitko nije želio priznati da ne zna što se točno događa u vlastitom procesu.

Ako mislite da je ovo samo još jedna priča o regulatornoj tiraniji, varate se. Ovo je priča o tome da je industrija koja je sebe proglasila najnaprednijom na svijetu zapravo desetljećima gradila kule na pijesku, a sad je došao netko s građevinskom inspekcijom. Možete mrziti Bruxelles koliko god želite, možete se žaliti na birokraciju, na papire, na rokove — ali pitanje koje vam postavljaju je legitimno i glasi: znate li uopće što ste napravili? Jer ako ne znate, koji kurac uopće radite?

Regulatorni okvir nije savršen. Nikada nije. Ali ovo konkretno pitanje, pitanje što je otpremljeno i kada si za to saznao, nije pitanje koje je izmislila birokracija. To je pitanje koje bi si svaka ozbiljna kompanija trebala postaviti svaki dan, a ne tek kada joj prijeti kazna. I zato, dok se industrija priprema za rujan, dok se kupuju alati i angažiraju konzultanti, jedno je sigurno: oni koji su cijelo vrijeme imali odgovor na to pitanje neće ni primijetiti novu uredbu. A oni koji ga nisu imali — njima ni 24 sata neće biti dovoljno. Ni 24 dana. Ni 24 godine.

Jedina konstanta u tech industriji je sposobnost ljudi da budu iznenađeni očekivanim.

Izvor: bleepingcomputer.com