- Los inversores a menudo pasan por alto los riesgos del software durante la debida diligencia, a pesar de que el software es un activo principal en las inversiones tecnológicas, lo que conduce a evaluaciones de riesgo incompletas.
- El software de código abierto es ampliamente utilizado y beneficioso para la velocidad de desarrollo, la eficiencia de costes y el soporte comunitario, pero requiere una gestión adecuada de vulnerabilidades.
- Las licencias restrictivas de código abierto, especialmente las copyleft como GNU GPL, pueden imponer obligaciones que pueden comprometer la propiedad intelectual de una empresa.
- El incumplimiento de los términos de licencia de código abierto puede provocar daños legales, financieros y reputacionales, como ilustra el caso Hancom.
- La mitigación eficaz del riesgo requiere un seguimiento continuo del uso de código abierto y un análisis exhaustivo de las restricciones de licencias en toda la base de código.
- El uso de un escáner de vulnerabilidades de código abierto combinado con revisión experta permite un análisis exhaustivo del código, la identificación de riesgos y decisiones de inversión informadas.
¿Entonces, qué es el Software de Código Abierto?
El software de código abierto es el software que los desarrolladores pueden inspeccionar, copiar, modificar y redistribuir. Esto es diferente del software de aplicación, que está diseñado para usuarios finales y no permite a los desarrolladores adaptarlo de ninguna manera (como Skype o la suite de Microsoft).
Una gran parte de la comunidad de código abierto es cómo opera con valores compartidos en lo que respecta a la colaboración, y es gracias a estos valores que el popular sitio web de desarrollo de software GitHub experimentó un aumento del 35% en el número de repositorios de código creados en 2020 en comparación con el año anterior. La realidad es que el uso de software de código abierto puede considerarse casi una necesidad para los desarrolladores hoy en día, ya que el desarrollo rápido es esencial para que las empresas logren una mayor cuota de mercado y obtengan una ventaja competitiva.
Por razones como estas, hay muchos beneficios en integrar código de código abierto dentro de los repositorios de código del software comercial, así que reiteremos que ciertamente no debe ser visto con temor por líderes empresariales e inversores. Para empezar, el código de código abierto es menos probable que quede obsoleto que el código desarrollado internamente, ya que los desarrolladores siempre pueden contar con el apoyo de la comunidad de código abierto, muy conectada, cuando se trata de la necesidad de actualizaciones o correcciones de errores. Esa misma comunidad también puede ayudar a las organizaciones a superar las complicaciones de contratación y ahorrar dinero, ya que siempre pueden trabajar con desarrolladores de código abierto como alternativa.
Pero hay un inconveniente: los inversores no podrán aprovechar estos beneficios a largo plazo si su gestión de vulnerabilidades de código abierto no es lo suficientemente exhaustiva, lo cual suele ocurrir.
¿Restricciones de licencia de propiedad intelectual: una amenaza para tus inversiones?
Las licencias de código abierto pueden ser complejas, pero al analizar el lado de la propiedad intelectual, los inversores deben ser especialmente conscientes de las licencias altamente restrictivas que pueden implicar ciertos códigos. Las licencias copyleft, o ‘no permisivas’, exigen que la redistribución del software se realice bajo los mismos términos establecidos en la licencia original de código abierto. La licencia copyleft más utilizada que debes tener en cuenta es la GNU General Public License (GPL).
Esta licencia se considera tan estrictamente copyleft como se aplica a las modificaciones realizadas al código de código abierto originalmente licenciado bajo la GPL y también a cualquier obra que luego se derive de código GPL. Como resultado, incluso si un desarrollador usa unas pocas líneas de este código GPL, significa que toda su base de código queda limitada por términos GPL. Si las organizaciones deciden usar código sujeto a licencias restrictivas como la GNU GPL, deben hacerlo con la comprensión de que su propiedad intelectual podría estar en riesgo.
Infracción de derechos de autor de software – oficina de hancom
En 2013, integraron un intérprete PDF de código abierto llamado Ghostscript en su software de procesamiento de textos. Sin que Hancom lo supiera, Ghostscript estaba sujeto a la GNU GPL, por lo que según los términos de la licencia Hancom debería haber hecho toda su suite de aplicaciones de código abierto y, en la práctica, perder sus derechos de propiedad intelectual. Hancom no proporcionó el código fuente de su producto (y no eligió comprar una licencia comercial), lo que los puso en conflicto con la licencia bajo la que se distribuye Ghostscript).
En 2017, Artifex presentó una demanda (2), que resultó en la fallo del Tribunal de Distrito de EE. UU. a favor de Artifex (3). Los términos exactos de este acuerdo, por supuesto, permanecen confidenciales, pero es razonable suponer que Hancom habrá sufrido significativamente en términos de finanzas, reputación y derechos de propiedad intelectual. Si hubieran utilizado un escáner de vulnerabilidades de código abierto antes de la implementación, esto se habría reportado y la situación podría haberse evitado.
Hablemos de licencias de software de código abierto
Incluso cuando no son tan estrictas como la GNU GPL, todas las licencias de código abierto deben ser revisadas cuidadosamente por las empresas, para que sean plenamente conscientes de las restricciones que deben cumplir. Todas las licencias de código abierto comparten principios comunes inscritos en las ‘libertades esenciales’ del movimiento de código abierto, lo que significa que son libres de usar, gestionar, estudiar, modificar y redistribuir software de código abierto para cualquier propósito. Pero hay tantos tipos diferentes de licencias que un software de código abierto puede ser muy distinto de otro.
A diferencia del copyleft impreso de la licencia GNU GPL, también existen licencias permisivas como la BSD, la licencia MIT y la Apache Licence v2.0. Estas licencias mantienen las ‘libertades esenciales’ de la comunidad de código abierto, pero no exigen que se respeten en obras derivadas. Esto significa que, con una licencia permisiva, los desarrolladores son libres de integrar software de código abierto en su base de código más amplia sin consecuencias y pueden distribuir el software completo bajo términos de licencia separados, algo que no es posible con licencias más restrictivas.
Debido a la gran diversidad de licencias de código abierto disponibles, es práctica habitual que las empresas supervisen y evalúen continuamente los distintos códigos de código abierto que utilizan sus desarrolladores, como parte de su gestión de vulnerabilidades de código abierto, para asegurarse de que no se enfrenten a problemas no deseados de incumplimiento.
Cómo mejorar la gestión de vulnerabilidades de código abierto.
En la fase previa a la adquisición, los inversores deben asegurarse de implementar una debida diligencia exhaustiva de software , que incluya un análisis de las restricciones de licencias de código abierto que conlleva un software. Las auditorías más detalladas suelen utilizar un escáner de vulnerabilidades de código abierto, capaz de escanear cada línea de código, combinado con una revisión por expertos, para asegurar que cualquier uso de software de código abierto se identifique y evalúe adecuadamente.
Escáner de vulnerabilidades de código abierto de Vaultinum
La diligencia Know Your Software Tech Due Diligence de Vaultinum ofrece un escaneo del código fuente que actúa como un escáner de vulnerabilidades de código abierto. Este revisa tanto el propio código como los procesos operativos y de desarrollo internos de la empresa (como su estrategia de gestión de código abierto) para reducir y evitar posibles riesgos en el futuro.
En paralelo, los usuarios también reciben una serie de cuestionarios autoauditados que ofrecen evaluaciones de Ciberseguridad, Propiedad Intelectual, Operaciones y Software de Terceros.
Los resultados de la evaluación online y la auditoría de código son revisados por nuestros expertos en TI, adaptando las recomendaciones al contexto del negocio. El informe incluye hallazgos claros, ilustraciones y un tiempo estimado de reparación.
Háblanos hoy y descubre cómo la Due Diligence Know Your Software Tech de Vautinum ayuda a los inversores con la gestión de vulnerabilidades de código abierto, dándoles la seguridad necesaria para tomar decisiones informadas.
(1) https://technation.io/news/tech-unicorns-don’t-appear-by-magic
(2) https://bit.ly/3IcaDd3
(3) https://www.linux.com/topic/open-source/artifex-v-hancom-open-source-now-enforceable-contract
