¿Cómo evitar los riesgos de las licencias de código abierto?

Definición de la licencia de código abierto para una mejor comprensión del concepto

Por definición, el software de código abierto es un programa cuyo código está abierto, a diferencia del software propietario, cuyo código está totalmente bloqueado. En pocas palabras, el software de código abierto es aquel cuyo código fuente se pone a disposición del público en general.

Existe una diferencia conceptual entre el software de código abierto y el software libre. Según las reglas establecidas por Richard Stallman, uno de los fundadores del movimiento del software libre, un programa es libre si cumple cuatro criterios principales:

- la libertad de utilizar el programa sin restricciones para todos,

- la libertad de analizar cómo funciona el programa,

- la libertad de compartir y redistribuir copias del programa,

- la libertad de mejorar el código fuente en beneficio del mayor número posible de personas.

Las principales licencias de código abierto

Cuando se utiliza una licencia de código abierto en una empresa, hay que prestar especial atención al tipo de licencia del programa. Estos son los 3 principales tipos de licencias de código abierto disponibles actualmente en el mercado y sus principales características:

El dominio público

Al publicar un programa en el dominio público, el programador o desarrollador renuncia a sus derechos de autor. Así, todo el mundo es libre de utilizar, compartir y también modificar el programa. Es el caso de la licencia CC0 (Creative Commons Zero).

La licencia permisiva

Existen numerosas licencias que conceden derechos ampliados a los usuarios, pero sin que el titular renuncie a los derechos de autor ni a otras protecciones que ofrece la licencia. Es posible comercializar un programa con una licencia permisiva en determinadas condiciones. Además, la gran mayoría de este tipo de licencias no conceden una garantía de uso. Las licencias MIT y BSD pertenecen a la categoría permisiva.

Copyleft

Contrariamente a lo que podría pensarse, el copyleft no significa renunciar a los derechos de autor sobre el software. Su objetivo es facilitar la copia y puesta en común de un programa sin renunciar a los derechos inherentes a la licencia. Dependiendo del grado de copyleft (débil o fuerte), una licencia copyleft implica que todo o parte del código desarrollado en torno al componente de código abierto cumple los mismos requisitos que la licencia de la que procede el código abierto. Incluso los programas derivados (forks) deben respetar la licencia original. Este es el caso en particular de las licencias GNU GPL.

¿Cómo minimizar los riesgos de utilizar una licencia de código abierto

Cada vez más empresas integran soluciones de código abierto en su estructura. Es el caso, en particular, de la administración de servidores mediante la licencia Apache o la gestión de bases de datos. CMS como Wordpress, Joomla o Prestashop, que se utilizan para diseñar sitios web, también están disponibles con licencia de código abierto.

En la actualidad, miles de productos de software están disponibles como código abierto para las empresas y ofrecen un coste de acceso especialmente ventajoso. Estos son los puntos que hay que tener en cuenta antes de instalar una solución de código abierto:

Leer la licencia en vigor

Que un programa pueda descargarse gratuitamente no significa necesariamente que sea software libre. Por ejemplo, algunos programas que no son de pago son privativos y sólo pueden utilizarse en determinados contextos (uso personal, limitado a pymes, etc.). Para una explotación a mayor escala, a menudo es necesario pagar.

Algunos sistemas de código abierto operan con licencias duales de código abierto y propietario, como es el caso de MySQL. El desconocimiento de las licencias puede exponerle a multas por incumplimiento o incluso a acciones legales. Antes de instalar cualquier programa nuevo, debe tomarse el tiempo necesario para leer cada cláusula de la licencia.

Antes de optar por una licencia de código abierto, también es necesario conocer la licencia de la documentación y la durabilidad del soporte técnico. Tomando el ejemplo de las distribuciones Ubuntu (Linux), existen versiones LTS que se benefician tanto de una documentación más extensa como de un soporte a más largo plazo por parte de sus promotores.

En el caso de los CRM y ERP que permiten gestionar proyectos colaborativos en línea, la licencia varía en función del número de usuarios. Por ejemplo, en el caso de ERPNext, la versión gratuita con licencia de código abierto no incluye la garantía. En caso de error o fallo que dañe su base de datos, tendrá que proporcionar usted mismo el soporte técnico. En el caso de Odoo, la versión básica (facturación y contabilidad) es gratuita, pero el acceso a los servicios de los módulos adicionales (gestión de recursos humanos, gestión de existencias, gestión de proyectos multiusuario, etc.), no es gratuito.

Con independencia del proyecto de instalación de software, deberealizarse una simulación previa del coste real de explotación según las posibilidades que ofrece la licencia de código abierto.

Tener en cuenta los defectos del software libre

Ningún software, propietario o de código abierto, puede aspirar a ser perfecto en términos de seguridad. Por eso se publican periódicamente actualizaciones para corregir cualquier fallo que permita a personas malintencionadas robar datos o dejar inoperativo el software, el SaaS o el sitio web.

Según un estudio de OSSRA (Open Source Security and Risk Analysis) de 2002, el 80 % de los programas contienen una vulnerabilidad relacionada con la implantación de una solución de código abierto y más del 50 % se consideran de alto riesgo.

En el caso del software propietario, la responsabilidad de publicar un parche de seguridad o una actualización recae en el propio software. En cambio, la naturaleza colaborativa de las soluciones de código abierto, ya sea con licencia GNU GPL, Copyleft o MIT, implica que la comunidad o las fundaciones se encarguen de solucionar los fallos de seguridad. Anteriormente, el acceso al código fuente se consideraba una ventaja, ya que los problemas podían solucionarse inmediatamente. Hoy en día, la proliferación de la biblioteca de código abierto lastra la capacidad de reacción de los desarrolladores a la hora de publicar parches. Si un software instalado en su empresa tarda en recibir las actualizaciones necesarias, estará totalmente expuesto.

Considerar el factor humano

En muchos casos, son los responsables de los sistemas de información y los técnicos informáticos los que originan el problema de seguridad. En efecto, a veces se olvidan de realizar las actualizaciones necesarias. Esta actualización del programa no afecta necesariamente al software principal, sino a veces a las dependencias que no siempre están vigiladas.

Para minimizar los riesgos de seguridad del software con licencia de código abierto, se recomienda realizar una prueba de vulnerabilidad antes de instalar software de código abierto. Después, habrá que definir una política de seguridad clara. Será necesario determinar la frecuencia de las actualizaciones y establecer un sistema de control para estar al tanto de los fallos detectados. El objetivo es garantizar una seguridad óptima durante toda la vida útil del software. Este enfoque es aún más importante si la aplicación instalada realiza funciones críticas para el desarrollo de la empresa.

Respuestas a sus preguntas sobre software de código abierto

¿Qué es el software de código abierto

El software de código abierto es una aplicación cuyo código fuente está abierto al público en general. Esto no significa que el programa sea gratuito, aunque la mayoría de las soluciones de código abierto están disponibles sin cuotas de acceso. Para una empresa, es esencial comprender el alcance legal de una licencia para garantizar el uso sin trabas de la solución elegida.

¿Por qué utilizar el código abierto?

En la gran mayoría de los casos, el software de código abierto es de uso gratuito y ofrece numerosas funciones. Por tanto, reduce el coste de acceso y funcionamiento del sistema de información de la empresa. No obstante, hay que prestar especial atención a la seguridad y a la naturaleza de la licencia para sacarle el máximo partido.

Descargo de responsabilidad

Las opiniones, presentaciones, cifras y estimaciones expuestas en el sitio web, incluido este blog, tienen únicamente fines informativos y no deben interpretarse como asesoramiento jurídico. Para obtener asesoramiento jurídico debe ponerse en contacto con un profesional del derecho de su jurisdicción.

El uso de cualquier contenido de este sitio web, incluido este blog, para cualquier fin comercial, incluida la reventa, está prohibido, a menos que se obtenga primero el permiso de Vaultinum. La solicitud de permiso debe indicar el propósito y el alcance de la reproducción. Para fines no comerciales, todo el material de esta publicación puede ser citado o reproducido libremente, pero se requiere un reconocimiento, junto con un enlace a este sitio web.