قانون تاب‌آوری سایبری اتحادیه اروپا یا EU Cyber Resilience Act (CRA)، مقرراتی است که الزامات امنیتی اجباری را برای تمامی محصولات دارای عناصر دیجیتال که در بازارهای اتحادیه اروپا عرضه می‌شوند، تعریف می‌کند. این قانون از ۱۰ دسامبر ۲۰۲۴ اجرایی شده و سازمان‌ها تا ۱۱ سپتامبر ۲۰۲۶ برای شروع تعهدات گزارش‌دهی و تا ۱۱ دسامبر ۲۰۲۷ برای اجرای کامل مفاد آن فرصت دارند.
دامنه شمول در اکوسیستم Cloud Native
این مقررات تمامی تصاویر کانتینری (Container Images)، اپراتورهای کوبرنتیز (Kubernetes Operators) و Helm Charts را که دارای پشتیبانی تجاری هستند و به مشتریان اتحادیه اروپا ارائه می‌شوند، پوشش می‌دهد. این موضوع شامل موارد زیر است:
- تصاویر کانتینری که به صورت عمومی توزیع می‌شوند.
- اپراتورهای تجاری Kubernetes.
- پروژه‌های Open Source که دارای پشتیبانی یا قراردادهای تجاری هستند.
در واقع، یک زنجیره انطباق (Compliance Chain) در سراسر زنجیره تأمین Cloud Native الزامی شده است.
الزامات کلیدی برای تیم‌های کانتینری
قانون CRA سه دسته اصلی از الزامات را معرفی می‌کند که مستقیماً بر نحوه ساخت و عملیاتی کردن زیرساخت‌های کانتینری اثر می‌گذارد:
- امنیت در طراحی و پیش‌فرض (Security by Design and Default): استفاده از تصاویر پایه سخت‌ساز شده (Hardened Base Images)، کاهش سطح حمله (Attack Surface) و اعمال تنظیمات امن پیش‌فرض اکنون یک الزام قانونی است و دیگر صرفاً یک توصیه فنی نیست.
- مدیریت آسیب‌پذیری (Vulnerability Management): سازمان‌ها باید داده‌های SBOM را نگهداری کرده و مانیتورینگ مستمر داشته باشند. طبق ماده ۱۴، آسیب‌پذیری‌های اکسپلویت شده باید ظرف ۲۴ ساعت به سازمان ENISA گزارش شوند و گزارش کامل در ۷۲ ساعت ارسال گردد.
- امنیت بلندمدت (۵ سال یا بیشتر): محصولات باید تا حداقل ۵ سال پس از عرضه (یا طول عمر مفید محصول)، به‌روزرسانی‌های امنیتی دریافت کنند. این امر مستلزم حفظ Pipelineهای بازسازی (Rebuild) برای تصاویر قدیمی و تضمین سازگاری عقب‌رو (Backward Compatibility) است.
تأثیر بر محیط‌های Kubernetes
به دلیل پیچیدگی استقرارها در Kubernetes که شامل تصاویر متعدد از منابع مختلف، Sidecars و Agentهای مانیتورینگ است، مدیریت انطباق با CRA چالش‌برانگیز خواهد بود. همچنین، هنگام استفاده از کنترلرها یا اپراتورهای Third-party، تیم‌ها تعهدات مربوط به زنجیره تأمین را به ارث می‌برند و باید وضعیت امنیتی وابستگی‌ها (Dependencies) را به دقت رصد کنند.
نقشه راه برای انطباق فنی
برای آماده‌سازی، توصیه می‌شود تیم‌ها از رویکردهای اکوسیستم CNCF استفاده کنند:
- کانتینرهای مینیمال (Minimal Containers): شروع از تصاویر پایه امن و حذف نرم‌افزارهای غیرضروری برای کاهش سطح حمله.
- ترکیب SBOM و RBOM: فراتر رفتن از موجودی استاتیک و ادغام تولید خودکار SBOM و Runtime Bill of Materials در Pipelineهای CI/CD برای تشخیص اجزای در حال اجرا.
- استراتژی‌های توزیع Image: بازنگری در نحوه رسیدن به‌روزرسانی‌ها به کاربران و نحوه اعمال Policyها در Registryها.
- شفافیت زنجیره تأمین: شناسایی نگهداران تصاویر مورد نیاز و تحلیل بازه زمانی به‌روزرسانی‌های امنیتی آن‌ها.
