Como responder a perguntas sobre licenças em questionários de segurança?

Os questionários espalham os deveres de licença por várias secções. Pode encontrá-los em propriedade intelectual, práticas de desenvolvimento de software, cadeia de fornecimento, conformidade jurídica, ou um anexo dedicado a open source. Pesquise no PDF por: OSS, open source, terceiros, licença, SBOM, componente, atribuição, copyleft, GPL.

• Usa software open source no produto em análise?
• Forneça uma lista de componentes e licenças open source.
• Forneça textos de licença / avisos de terceiros.
• Tem uma política para o uso de open source?
• Como acompanha a conformidade de licenças?
• Forneça o SBOM ou software bill of materials.
• Ligação para a página de divulgação de licenças / open source.
• Algum componente copyleft (GPL, AGPL, LGPL)?

Os revisores verificam controlo operacional, não filosofia: se consegue produzir uma lista de licenças revista, delimitada ao produto, com texto integral, associada a um lançamento identificado, que sobreviva ao seu próximo deploy. Questionários padronizados, como o SIG da Shared Assessments e o CAIQ da CSA, incorporam estas expectativas em linhas de controlo identificadas.

Consegue produzir uma lista revista para este produto? Inclui o texto integral de licença? Está associada a um lançamento que consigam identificar? Vai continuar exata depois do seu próximo deploy?

Um “sim” sem prova falha numa auditoria por amostragem: escolhem cinco componentes e pedem o texto. Um PDF de política sem inventário falha porque as políticas não são distribuídas com o binário. Um SBOM sem licenças revistas falha porque os identificadores não são divulgação.

• Existência de inventário para o produto específico, não afirmações vagas ao nível da empresa.
• Prova de revisão, não metadados brutos do registo.
• Texto integral de licença, não resumos.
• Processo de atualização, essencial quando as equipas integram alterações de dependências diariamente.
• Âmbito honesto: SaaS, software instalável, e incorporado podem diferir.

Não assinale “sim” e anexe o rodapé de uma página de marketing. Se está a construir o processo, diga-o: o que tem hoje, que lançamento consegue cobrir, quando a divulgação completa vai estar pronta.

A honestidade parcial preserva negócios. Exagerar falha na revisão jurídica e destrói a confiança. Muitos compradores aceitam um calendário, se forem indicados nomes da engenharia e da conformidade.

• Indique o estado atual com clareza: inventário parcial, revisão em curso, ainda sem publicação.
• Identifique o produto e o lançamento que consegue apoiar hoje.
• Dê uma data para a divulgação completa, e cumpra-a.
• Não copie as respostas do ano passado, se as dependências mudaram.
• Escale as perguntas sobre copyleft ou GPL ao seu advogado. Respostas de caixa de verificação são arriscadas.

Envie a partir do mesmo snapshot de publicação aprovado: URL, exportação em PDF, ou pacote JSON, conforme o formulário permitir. Indique o nome do produto, a tag ou data de lançamento, e uma frase sobre como republica quando as dependências mudam.

Se o questionário pedir tanto SBOM como divulgação de licenças, anexe ambos a partir do mesmo lançamento, mas não os trate como intercambiáveis. O SBOM satisfaz as linhas de segurança; o texto de licença revisto satisfaz as linhas jurídicas.

• Corresponda ao produto em análise, não a um SKU semelhante.
• Inclua o lançamento ou data que os dados refletem.
• Anexe o texto integral de licença, ou aponte para a divulgação revista.
• Descreva a manutenção: importar, rever, publicar em cada lançamento.
• Identifique um responsável: contacto de engenharia, conformidade, ou jurídico.

Responda a perguntas sobre copyleft a partir de um inventário pesquisado e revisto, nunca de memória ou suposição, porque um “não” falso é a resposta mais dispendiosa que pode dar. As condições da GPL, AGPL, LGPL, e SSPL dependem de como liga, distribui, e oferece o código-fonte, pelo que as correspondências normalmente precisam de interpretação jurídica antes de assinar.

Os questionários perguntam muitas vezes especificamente sobre GPL, AGPL, LGPL, ou copyleft. Estas exigem um inventário exato e, muitas vezes, interpretação jurídica de como liga, distribui, e oferece o código-fonte.

Não responda “não” só porque não pesquisou. Importe os lockfiles, pesquise identificadores de copyleft, escale as correspondências antes de assinar o questionário. Um falso negativo é pior do que um “sim” sinalizado, com um plano de mitigação.

• Execute uma pesquisa no inventário por GPL, AGPL, LGPL, SSPL, e licenças personalizadas.
• Documente cada correspondência: versão, contexto de uso, estado de revisão.
• Envolva o seu advogado nas obrigações de distribuição e oferta de código-fonte.
• Responda ao questionário com factos do inventário revisto.
• Atualize as respostas quando componentes copyleft forem adicionados ou removidos.

Muitos formulários pedem o seu PDF de política de open source. As políticas importam no contexto de SOC 2 e ISO. Descrevem intenção. Os compradores continuam a pedir prova: a lista real do produto.

Responda às perguntas de política com a sua política. Responda às perguntas de inventário com o seu registo revisto, não apenas com a política. Se a política disser “cumprimos as licenças”, mas não tiver um inventário publicado, a pergunta de prova falha de qualquer forma.

As respostas a questionários têm um prazo de validade. Na semana depois de submeter, alguém pode fazer merge de uma atualização importante de dependência. A sua atestação assinada continua no ficheiro do comprador, agora desatualizada.

As equipas operacionais reimportam a cada lançamento, revêem de novo as alterações, republicam a divulgação, e notificam as contas-chave quando a postura de licenças muda de forma relevante. Respostas estáticas, sem um ciclo de manutenção, são uma responsabilidade em ciclos de renovação e auditoria.

O SourceTrust torna este ciclo a predefinição: importa o lockfile, revê cada licença uma vez, publica uma página de atestação delimitada ao produto, com texto integral de licença, e republica em cada lançamento. O próximo questionário recebe um URL, em vez de uma correria.