A nyílt forráskódú szoftver ma már szinte mindent működtet, a felhős platformoktól a vállalati alkalmazásokig. Egy új, a Canonical és a Google Cloud által szponzorált IDC-felmérés szerint azonban sok szervezet még mindig nem tudja, hogyan tartsa ezeket az összetevőket biztonságban. Az 500 informatikai döntéshozó megkérdezésével készült kutatás azt mutatja, hogy a cégek tisztában vannak a szoftver-ellátási lánc biztonságának fontosságával, de továbbra is küszködnek az alapokkal.

A nyílt forráskódra támaszkodás nem lassul. A megkérdezett szervezetek tízből heten mondták, hogy létfontosságú munkaterhelések futtatásához rendkívül fontos. A legfőbb ok továbbra is az alacsonyabb költség, de sokan említették a gyorsabb fejlesztést, a nagyobb rugalmasságot, az erősebb biztonságot és az új technológiákhoz való gyorsabb hozzáférést is.

A gond az, hogy a nyílt forráskód használata sokkal könnyebb, mint a kezelése. A kutatás szerint a szervezetek 70 százaléka előírja, hogy a kritikus sebezhetőségeket 24 órán belül be kell foltozni. Ezzel a szigorú céllal szemben viszont csak nagyjából 40 százalékuk biztos abban, hogy ezt valóban teljesíteni is tudja. Közben a javításért felelős csapatok tízből heten hetente több mint hat órát töltenek biztonsági frissítések telepítésével, ami arra utal, hogy sok helyen még mindig munkaigényes, kézi folyamatokra támaszkodnak automatizálás helyett.

Nem nehéz látni, miért maradnak le a csapatok. A készség- és szakemberhiány vezeti azoknak az akadályoknak a listáját, amelyek gátolják a szervezeteket a biztonság javításában. A válaszadók a megfelelőségi követelményeket, az elöregedett infrastruktúrát, a szűk költségvetést és a több biztonsági eszköz párhuzamos kezelésének nehézségét is a legnagyobb problémák közé sorolták.

Visszatérő motívum a jelentésben az átláthatóság hiánya. A válaszadók a sebezhetőség- és javítócsomag-kezelést nevezték meg a szoftver-ellátási lánc legnagyobb kihívásaként, ezt követte a szoftverfüggőségek gyenge átláthatósága. Sok informatikai osztálynak még mindig komoly fejfájást okoz, hogy egyáltalán nyomon kövesse, melyik verzió hol fut.

A Linux-felhasználók számára érdekes lehet, hogyan rangsorolják a szervezetek a Rust-ot. Bár a cégek gyakran húznak le szoftvert GitHub-ról, npm-ről, pipről, Docker registrykből és más upstream forrásokból, a válaszadók azt mondták, ha ugyanaz a verzió elérhető, inkább az operációs rendszer csomag tárolóiból telepítenek. Ez arra utal, hogy az üzleti felhasználók egyre jobban értékelik azokat a szoftvereket, amelyeket az operációs rendszer gyártója már becsomagolt és ellenőrzött.

A jelentésből az is kiderül, hogy a legtöbb cég nem akar azonnal ráugrani minden új kiadásra. Mindössze 15 százalékuk végzi el a termelési rendszerek verziófrissítését rögtön, amint új operációs rendszer-verzió válik elérhetővé. A többség inkább a meglévő telepítéseknél marad, amíg nincs szükség új funkciókra, vagy amíg le nem jár a biztonsági támogatás. A legfontosabb szempont számukra a stabilitás, nem pedig az, hogy mindig a legfrissebb kiadást használják.

Mesterséges intelligencia terén újabb kihívás körvonalazódik. A válaszadók 60 százaléka elismerte, hogy csak alapvető biztonsági kontrollokkal rendelkezik, vagy egyáltalán semmilyennel, amikor AI- és gépi tanulási környezetét védi. Közel a fele azt is mondta, hogy nagyon aggódik az AI-infrastruktúra biztonságáért, ahogy a technológia elterjedtsége tovább nő.

A jelentés természetesen a Canonical termékei felé tereli az olvasót, ami a szponzoráció fényében nem meglepő. Ugyanakkor olyan problémákat emel ki, amelyek messze túlmutatnak egyetlen Linux-gyártón. A nyílt forráskód az üzleti informatika alapjává vált, de sok szervezet még mindig csak próbál felzárkózni ahhoz, hogy biztonságossá tegye a szoftvert, amelyre nap mint nap támaszkodik.