Ανοικτό από επιλογή: γιατί ένα εργαλείο συμμόρφωσης πρέπει να είναι ελέγξιμο
Ένα προϊόν που ζητά από εποπτευόμενες επιχειρήσεις να του εμπιστευτούν τα δεδομένα τους πρέπει να τους επιτρέπει να διαβάσουν τον κώδικά του. Ο ανοικτός κώδικας εδώ δεν είναι παραχώρηση· μπορεί να στηρίξει ουσιαστικά το σχέδιο εξόδου.
Είναι παράδοξο να ζητείται από μια εποπτευόμενη επιχείρηση να εμπιστευτεί τα πιο ευαίσθητα δεδομένα της σε ένα κλειστό σύστημα. Η επιχείρηση οφείλει ακριβώς να γνωρίζει πού καταλήγουν τα δεδομένα και ποια συστήματα έχουν πρόσβαση σε αυτά. Ένα προϊόν που λέει «εμπιστευτείτε μας, όλα είναι εντάξει στο εσωτερικό» της ζητά να αποδεχτεί χωρίς επαλήθευση ακριβώς αυτό που δεν επιτρέπεται να δεχτεί χωρίς τεκμηρίωση.
Γι’ αυτό το λογισμικό συμμόρφωσης είναι μία από τις λίγες κατηγορίες όπου ο ανοικτός κώδικας λειτουργεί ως πλεονέκτημα και όχι ως παραχώρηση.
Όταν ο κώδικας είναι ανοικτός, οι μηχανικοί και οι ελεγκτές του αγοραστή μπορούν να διαβάσουν τι κάνει το σύστημα με τα δεδομένα: πώς κρίνει τι είναι ευαίσθητο, τι αποστέλλει εξωτερικά, τι διατηρεί και πώς καταγράφει. Δεν χρειάζεται να βασιστούν σε ένα φυλλάδιο προδιαγραφών· μπορούν να το ελέγξουν. Για μια επιχείρηση που θα πρέπει να αιτιολογήσει την επιλογή της στην εποπτική αρχή, το «εξετάσαμε τον πηγαίο κώδικα» είναι ισχυρότερο επιχείρημα από το «μας διαβεβαίωσε ο πάροχος». Η ανάγνωση του κώδικα δεν αποδεικνύει, ωστόσο, από μόνη της ποια έκδοση και παραμετροποίηση εκτελείται πράγματι.
Ο ανοικτός κώδικας βοηθά επίσης να απαντηθεί ένα ερώτημα που ο DORA υποχρεώνει κάθε επιχείρηση να θέσει: τι συμβαίνει αν ο προμηθευτής πάψει να υπάρχει. Αν ένα προϊόν κλειστού κώδικα πάψει να λειτουργεί, η επιχείρηση δεν έχει πρόσβαση στον εσωτερικό του μηχανισμό. Ένα προϊόν ανοικτού κώδικα μπορεί να συντηρηθεί, να ελεγχθεί και να παραμείνει σε λειτουργία από άλλον, επειδή η επιχείρηση διαθέτει τον κώδικα. Η άδεια ανοικτού κώδικα δεν αποτελεί από μόνη της σχέδιο εξόδου· είναι όμως ισχυρό θεμέλιο για το τεκμηριωμένο και δοκιμασμένο σχέδιο εξόδου που απαιτεί ο DORA για υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.
Αυτό δεν σημαίνει ότι η εργασία προσφέρεται δωρεάν. Το κατάλληλο μοντέλο είναι ένας ανοικτός, ελέγξιμος πυρήνας με ιδιόκτητο επίπεδο για τα στοιχεία που αποτελούν υπηρεσία και όχι μηχανισμό: την έτοιμη αυτοματοποίηση συμμόρφωσης, την υποστήριξη και τη διαχειριζόμενη φιλοξενία. Ο πυρήνας κερδίζει εμπιστοσύνη επειδή μπορεί να διαβαστεί. Το επίπεδο αποφέρει έσοδα επειδή είναι χρήσιμο. Τα δύο δεν συγκρούονται· η διαφάνεια του πυρήνα κάνει το επί πληρωμή τμήμα αξιόπιστο για αγοραστές που διαβάζουν τις άδειες.
Το GAIA-CORE θα διατεθεί υπό την άδεια GNU AGPLv3. Το αποθετήριό του παραμένει ιδιωτικό και δεν έχει ανακοινωθεί ημερομηνία διάθεσης. Προτεραιότητα έχουν η καθαρή νομική κατάσταση των δικαιωμάτων, η αναπαραγώγιμη έκδοση, ο εξωτερικός έλεγχος και ένα σχέδιο υποστήριξης. Μέχρι τη διάθεση, ο έλεγχος και η επιχειρησιακή συνέχεια παρέχονται μέσω ελεγχόμενης διαδικασίας δέουσας επιμέλειας, συμφωνημένης πρόσβασης στον πηγαίο κώδικα και μεσεγγύησης (escrow).