Open source, i potenziali rischi del software secondo Vaultinum

Vaultinum ha identificato a quali rischi si può andare incontro nell’open source quando viene trascurata la due diligence nella fase di pre-investimento in termini tecnologici.

Conoscere un software open source

Gli sviluppatori possono ispezionare, copiare, modificare e ridistribuire un software open source. L’idea alla base è infatti di consentire la crescita della conoscenza attraverso la collaborazione della comunità. Attualmente la comunità open source ha fatto registrare il 35% in più di repository di codice creati su GitHub nel 2020 rispetto all’anno precedente. L’uso dell’open source sta rapidamente diventando una necessità strategica nel mondo digitale, poiché in un ambiente competitivo è essenziale essere in grado di sviluppare più velocemente. Sviluppare nuove feature e metterle sul mercato più velocemente di un concorrente migliora la possibilità di ottenere più quote di mercato.

I benefici che possono derivare dall’integrazione del software open source all’interno dei repository di codici commerciali sono di ampia portata, pertanto l’uso dell’open source può e deve essere visto come una risorsa dagli investitori. L’open source permette alle organizzazioni di attingere a una comunità di sviluppatori di software ampia e tecnicamente diversificata e questo fa sì che il software possa affrontare minori rischi in termini di obsolescenza.

https://youtu.be/rBkwJONKUug

Approfondire le licenze

Quasi tutte le licenze open source rispettano le “libertà essenziali” dell’open source, ovvero la libertà di usare, eseguire, studiare, modificare e ridistribuire il software per qualsiasi scopo. Queste libertà sono principi essenziali che permettono alla comunità di sviluppare e intervenire costantemente per trovare soluzioni migliori. Tuttavia, il modo in cui questi principi si applicano al software sviluppato in open source dipende dalle restrizioni di licenza che sono state applicate, sia a livello generale, sia per licenze permissive o copyleft.

Il software vincolato da una licenza permissiva può essere modificato in una base di codice più ampia e distribuito anche tenendo conto di diversi termini di licenza. D’altra parte, le licenze copyleft, o le cosiddette licenze “non permissive”, richiedono che qualsiasi redistribuzione di un software debba essere fatta sulla base degli stessi termini o di termini compatibili con la licenza originale. I termini delle licenze copyleft, infatti, sono vasti e possono includere la richiesta di rendere pubblico l’intero codice sorgente sviluppato in house o la necessità di pagare una tassa di licenza per l’uso del codice open source all’interno di un software commerciale. La licenza copyleft più usata, indicata come copyleft forte, è la GNU General Public Licence (GPL), che si applica non solo a qualsiasi modifica fatta al codice open source con licenza GPL, ma anche a qualsiasi lavoro di derivazione che si basa sul codice GPL.

Proteggere la proprietà intellettuale

Quando si usa codice vincolato da licenze restrittive, come la GNU GPL, le aziende affrontano una minaccia alla proprietà intellettuale. Le licenze che permettono al codice proprietario di essere definito come lavoro derivato comportano anche che le organizzazioni possano perdere il loro diritto IP su un intero software sviluppato internamente. Naturalmente, il livello di rischio dell’uso di software open source dipende dal tipo di licenza, e dalla severità dei suoi termini.

L’integrazione di un software vincolato a una licenza permissiva non avrà le stesse ricadute che può avere l’integrazione di un software regolato da una licenza copyleft, che costringe le organizzazioni a pagare o, in alternativa, a rendere pubblico il loro codebase con una grave perdita di IP. La sentenza Artifex contro Hancom ha stabilito un precedente scoraggiante per ogni organizzazione che voglia integrare software open source vincolato da una licenza copyleft nelle loro basi di codice più ampie. Le aziende devono quindi implementare una forte strategia per evitare di incorrere in battaglie legali di questo genere.

Gli investitori dovrebbero controllare le restrizioni di licenza e tutti gli altri potenziali rischi associati a un software, implementando una due diligence completa del software prima di investire. Un auditing davvero completo utilizza un algoritmo combinato con la revisione di esperti allo scopo di analizzare ogni linea di codice, in modo che ogni software open source sia identificato e valutato in maniera onnicomprensiva. L’audit esamina anche i processi operativi interni di un’azienda, compresa la strategia di gestione dell’open source, al fine di ridurre ed evitare tali rischi in futuro.