5 considerazioni sull’uso della tecnologia open source per soluzioni enterprise

Punti chiave

• Sebbene si possa pensare alla tecnologia open source come a una soluzione più economica o addirittura a un “software gratuito”, è necessario tenere conto della sicurezza, della conformità, della resilienza operativa e della protezione legale quando si utilizza questa tecnologia per soluzioni aziendali.

• La decisione di utilizzare la tecnologia open source, con o senza servizi di livello enterprise, dipenderà dai fattori e dalle circostanze specifiche che si presenteranno. Che la tua organizzazione sia di piccole dimensioni e non disponga delle risorse necessarie per gestire tecnologie open source e sviluppate dalla community, oppure che sia una realtà più matura alla ricerca di efficienza e scalabilità, l’open source può offrire vantaggi strategici significativi. Affiancare queste tecnologie a un provider commerciale può infatti amplificarne il valore. In questo articolo scoprirai cinque motivi per cui farlo può essere una scelta vincente.

• Ad esempio, l'utilizzo di Liferay DXP con la sottoscrizione Liferay Enterprise offre ai clienti supporto esclusivo, sicurezza, conformità e protezione legale, oltre a funzionalità aggiuntive rispetto all'utilizzo senza sottoscrizione del codice Liferay Portal scaricato dai nostri repository pubblici.

La tecnologia open source può offrire incredibili vantaggi quando viene utilizzata per creare soluzioni aziendali, tra cui risparmi sui costi, maggiore agilità e flessibilità e accesso a una comunità di sviluppatori che utilizzano lo stesso software.

Che cos'è l'open source?

Il software open source è un software il cui codice sorgente è disponibile al pubblico e include una licenza in cui il titolare del copyright concede i diritti di studiare, modificare e distribuire il software a chiunque e per qualsiasi scopo. Sebbene le origini del software open source risalgano agli anni '50, il movimento ha iniziato a prendere piede alla fine degli anni '90 e continua ad avere un impatto sullo sviluppo di software per soluzioni aziendali ancora oggi.

Le soluzioni aziendali richiedono tuttavia un'attenta pianificazione ed esecuzione, soprattutto per quanto riguarda la sicurezza, la conformità, la resilienza operativa e la funzionalità. In questo blog, esamineremo un elenco di cinque elementi chiave da tenere presenti prima di utilizzare il software open source per lanciare le vostre soluzioni aziendali.

5 aspetti chiave da valutare prima di adottare tecnologie open source per soluzioni enterprise

Nonostante il software open source sia generalmente disponibile gratuitamente, senza costi iniziali o sottoscrizioni ricorrenti, il suo utilizzo comporta comunque alcune responsabilità, rischi e costi associati che è importante conoscere — soprattutto quando viene impiegato per sviluppare soluzioni enterprise.

1. Rischi di vulnerabilità

Quando si parla di soluzioni business-critical, la sicurezza è una priorità assoluta, soprattutto se l’azienda gestisce dati dei clienti o informazioni sensibili.

La natura pubblica delle tecnologie open source rappresenta un vantaggio: una community ampia può infatti analizzare il codice, individuare potenziali vulnerabilità e contribuire a risolverle più rapidamente. In altre parole, più occhi sul codice possono tradursi in un miglior livello di sicurezza complessivo.

Tuttavia, la stessa trasparenza che favorisce la collaborazione espone anche a dei rischi. Il codice aperto, accessibile a chiunque, può essere analizzato anche da cybercriminali alla ricerca di punti deboli da sfruttare. In alcuni casi, questi attori malintenzionati potrebbero persino tentare di inserire vulnerabilità o codice dannoso all’interno di progetti open source.

Un ulteriore rischio riguarda la gestione degli aggiornamenti: molte organizzazioni integrano componenti open source nelle proprie applicazioni e poi smettono di aggiornarle. Se il codice non viene mantenuto e aggiornato regolarmente, le vulnerabilità di sicurezza possono rimanere aperte e non risolte, esponendo l’intera soluzione a potenziali attacchi.

Secondo il rapporto 2024 Open Source Security and Risk Analysis di Synopsys, che ha analizzato oltre 1.000 codebase commerciali in 17 settori nel corso del 2023, il 96% del codice esaminato conteneva componenti open source e l’84% dei progetti valutati presentava vulnerabilità di sicurezza.

Un altro studio, condotto da Veracode, ha rilevato che nel 79% dei casi gli sviluppatori non aggiornano il codice dopo averlo integrato in un’applicazione. Inoltre, nella maggior parte dei repository analizzati è stata individuata almeno una vulnerabilità di sicurezza.
Molte organizzazioni, infatti, non tracciano in modo sistematico dove e come viene utilizzato il codice open source, e spesso non sono nemmeno consapevoli dei componenti che necessitano di aggiornamenti.

Alla luce di questi dati, è fondamentale che i team che scelgono di adottare software open source si assumano la responsabilità della manutenzione e dell’aggiornamento del codice per garantirne la sicurezza nel tempo. Anche se il fornitore originario esegue regolarmente controlli e test di sicurezza, spetta comunque ai team interni mantenere e aggiornare le versioni integrate all’interno delle proprie soluzioni enterprise.

2. Soddisfare i requisiti di conformità

Se la tua azienda opera in regioni specifiche o in un settore altamente regolamentato, è fondamentale che il software e la tecnologia che utilizzi siano conformi alle leggi e alle politiche emanate dagli organi di governo competenti.

La conformità esterna si riferisce alle normative e agli standard imposti alle organizzazioni da fonti esterne per garantire la sicurezza, la privacy e la protezione degli utenti. Alcuni di questi includono:

• SOC 2, che valuta la triade di sicurezza, inclusi la disponibilità, l'integrità dell'elaborazione e la riservatezza dei sistemi e dei processi di un fornitore di servizi.

• ISO/IEC 27001, che è lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni.

• GDPR, che si concentra sulla protezione dei dati personali degli individui nell'UE. Altre leggi regionali di protezione includono la LGPD in Brasile e la CCPA in California.

• Digital Operational Resilience Act (DORA), che si concentra sulla resilienza digitale delle entità finanziarie nell'UE.

• Cyber Resilience Act (CRA), che si concentra sulla resilienza informatica attraverso standard comuni di sicurezza informatica per i prodotti con elementi digitali nell'UE, come le segnalazioni di incidenti richieste e gli aggiornamenti automatici di sicurezza.

Ma alla fine, la responsabilità di garantire la conformità alle normative non ricade sul fornitore, ma sull’organizzazione che utilizza la tecnologia.
Se scegli di integrare soluzioni open source nelle tue applicazioni, è fondamentale effettuare audit regolari su pratiche e policy interne relative a sicurezza delle informazioni aziendali, conformità open source, privacy e protezione dei dati, solo per citare alcuni ambiti.

3. Obblighi open source

La compliance al Free and Open Source Software (FOSS) richiede che gli utilizzatori rispettino tutte le notifiche di copyright e soddisfino le obbligazioni di licenza open source relative ai componenti utilizzati nei propri prodotti commerciali. Questo significa andare oltre la semplice implementazione del codice: servono processi strutturati e un’attenta gestione della conformità, che può includere una o più delle seguenti attività:

• Documentare i componenti open source utilizzati, per eventuali audit o richieste dei clienti.

• Gestire un repository da cui gli utenti possano scaricare il codice sorgente.

• Mantenere aggiornate le informazioni relative a copyright e licenze.

• Creare un’interfaccia utente che mostri i componenti open source impiegati.

• Valutare la compatibilità delle licenze tra componenti distribuiti con termini differenti.

Per farlo in modo efficace, le organizzazioni devono definire policy interne sull’uso dell’open source e formare i team di sviluppo, oltre a dotarsi di strumenti di scanning in grado di identificare eventuali componenti non conformi alle linee guida aziendali o alle normative vigenti.

Ignorare questi aspetti o gestirli in modo incompleto può portare a conseguenze legali, perdite economiche, difficoltà di manutenzione e danni reputazionali.

Un ulteriore elemento chiave è la creazione della Software Bill of Materials (SBOM), oggi considerata la base della supply chain software globale. Lo standard SBOM funge da inventario dettagliato di tutti i componenti e le dipendenze utilizzate per sviluppare un’applicazione, garantendo trasparenza e tracciabilità.

Con l’aumento dei rischi legati alla sicurezza, l’adozione delle SBOM sta diventando sempre più diffusa — una tendenza rafforzata anche da nuovi obblighi normativi, come il Cyber Resilience Act nell'UE e il decreto presidenziale statunitense 14028

Tuttavia, la produzione di SBOM richiede investimenti in strumenti o servizi di scanning, oltre a un notevole impegno operativo: ogni SBOM deve infatti includere tutti i dati essenziali sui componenti software e sulle loro dipendenze, comprese patch e aggiornamenti necessari per garantirne il corretto funzionamento.

4. Controlli legali e tutela del business

L’introduzione di una nuova tecnologia open source — o la modifica delle condizioni di licenza di un componente esistente — richiede verifiche legali e valutazioni dei rischi da parte dei team che implementano il software.

In caso di mancata conformità a una licenza open source o di violazione presunta della proprietà intellettuale di terze parti, la responsabilità legale ricade direttamente sul team o sull’organizzazione che ha adottato la tecnologia.
Le licenze open source, infatti, raramente includono clausole di indennizzo o rimedi legali: ciò significa che sarà necessario affidarsi a un supporto legale competente per tutelare l’azienda e gestire eventuali contenziosi o costi derivanti da sanzioni e diritti di licenza.

5. Resilienza operativa

Quando si parla di soluzioni business-critical, la disponibilità è un requisito imprescindibile. Ogni secondo di inattività può tradursi in perdite economiche, dati compromessi e danni reputazionali, minando la fiducia dei clienti e la continuità operativa dell’organizzazione.

Garantire le prestazioni e la disponibilità di una soluzione, ad esempio attraverso attività di scaling, monitoraggio e backup regolare, è responsabilità del team che implementa la tecnologia. Tuttavia, gestire questi aspetti internamente può risultare complesso e dispendioso, sia in termini di tempo che di risorse.

Inoltre, utilizzare software open source senza un supporto commerciale dedicato comporta ulteriori rischi: spesso l’unica opzione disponibile è l’assistenza offerta dalla community, che non prevede accordi di servizio (SLA) né interventi garantiti in caso di malfunzionamenti o tempi di inattività. Questo richiede maggiori competenze interne e un investimento costante in risorse tecniche per assicurare continuità e affidabilità nel lungo periodo.

Software open source con o senza offerta commerciale?

Considerando i cinque aspetti chiave illustrati sopra, potresti chiederti se l’adozione di software open source possa davvero ridurre il Total Cost of Ownership (TCO), una volta tenuto conto di fattori come sicurezza, compliance e resilienza operativa.

Migliaia di aziende in tutto il mondo hanno beneficiato della forza e della flessibilità della tecnologia open source di Liferay, chiamata Liferay Portal, nella creazione e nel lancio di esperienze digitali come siti web, intranet, portali clienti e altro ancora.

Tutti e cinque i punti di attenzione rimangono comunque rilevanti: questi utenti devono destinare risorse per gestire, supportare e proteggere le loro soluzioni. Ad esempio, se un’azienda utilizza Liferay Portal per il proprio sito senza i benefici di una sottoscrizione Liferay, il team interno o un implementatore di terze parti sarà l’unico responsabile dell'hosting della soluzione, della risoluzione dei problemi di prestazioni, della manutenzione del sito, della garanzia della sua resilienza operativa e scalabilità, della sicurezza del sito e del backup e ripristino del sito in caso di interruzione.

Se stai cercando delle opzioni per alleggerire questi compiti, le nostre sottoscrizioni enterprise offrono supporto specializzato per accelerare il raggiungimento del valore di business, con team dedicati e esperti di prodotto a supporto.

Le sottoscrizioni Enterprise di Liferay vi offrono il meglio di entrambi i mondi: puoi mantenere i vantaggi del software open source mitigando al contempo i rischi associati. In questo modo, la tecnologia open source può essere utilizzata in modo efficiente e pronta per l’uso enterprise, anche per casi d’uso mission-critical. Inoltre, la sottoscrizione Liferay Enterprise offre funzionalità esclusive relative a performance, commerce, analytics e sicurezza, oltre a garantire conformità normativa secondo best practice e standard di settore.

Grazie alla possibilità di scegliere tra modelli di  modelli di implementazione on-premise, PaaS e SaaS, Liferay offre la flessibilità di scegliere il giusto equilibrio tra il controllo totale sui dati e la completa personalizzazione da un lato, e la possibilità di esternalizzare l'onere della manutenzione, della sicurezza e del supporto dell'infrastruttura sottostante o persino della soluzione stessa. Questa scelta può essere effettuata in base al profilo di rischio, alle esigenze di business e alle preferenze aziendali — e persino su base progetto-specifica.

Scegliere la soluzione più adatta alla propria attività per lanciare soluzioni aziendali

Nonostante i numerosi vantaggi del software open source, licenze e costi commerciali non sono gli unici fattori da considerare. È fondamentale valutare anche il costo e le risorse necessarie per gestire e supportare la soluzione nel lungo periodo.
 

Per molte organizzazioni, utilizzare software open source supportato da servizi enterprise-grade, come la sottoscrizione Liferay Enterprise, significa avere la certezza che un team di esperti possa gestire sicurezza, compliance, obblighi open source e molto altro. Questa garanzia include anche una riduzione del costo totale di proprietà, una maggiore sicurezza operativa, una migliore continuità del business, un incremento dell’agilità e un time-to-market più rapido rispetto a chi utilizza la tecnologia open source senza  supporto commerciale.

Vuoi saperne di più su come Liferay può aiutarti ad accelerare la conformità e proteggere le tue operazioni? Scarica questo whitepaper per saperne di più.