Tag: FOSS

Minister Grapperhaus informeerde de Kamer middels deze brief over de uitfasering van de antivirussoftware van Kaspersky Lab.

In de brief wordt, kort samengevat, het volgende betoogd:

1. Er zijn zorgen ten aanzien van nationale veiligheidsrisico’s.
2. Het kabinet wil deze risico’s voorkomen.
3. Antivirussoftware heeft diepgaande toegang tot ICT systemen.
4. Russische wetgeving vereist dat bedrijven zoals Kaspersky de Russische inlichtingendiensten ondersteunen.
5. De Russische Federatie heeft een actief offensief
   cyberprogramma dat onder meer is gericht op Nederland en Nederlandse belangen.

Tot op zekere hoogte kan ik instemmen met de genoemde argumenten. Maar het verbaast me (of misschien eigenlijk ook wel niet) dat op basis van deze argumenten alleen de Russische Kaspersky software wordt verbannen. Naast Rusland zijn er ook andere landen die actief zijn in Nederland. Daarnaast hebben besturingssystemen als Windows ook diepgaande toegang tot ICT systemen.

Het is verstandig dat de Nederlandse overheid veiligheidsrisico’s zoveel mogelijk wil beperken. Maar eigenlijk is er maar één manier om te weten wat software precies doet: het inspecteren van de source code.

Mij lijkt het dan ook dat het een veel betere maatregel zou zijn als de overheid alle proprietary, closed source software zou uitfaseren door deze te vervangen door vrije- opensourcesoftware (Engels: Free and Open Source Software, FOSS).

Vrije software biedt de gebruiker vier fundamentele vrijheden:

1. Vrijheid om de software te gebruiken voor elk doel;
2. Vrijheid om de software te bestuderen en te veranderen, daarom is de broncode van vrije software vrij beschikbaar;
3. Vrijheid om de software aan iemand anders te geven zodat je iemand kunt helpen;
4. Vrijheid om de software te veranderen en deze veranderde software te distribueren, zodat iedereen hiervan profiteert.

De vrijheid om de broncode van de software te bestuderen is hier essentieel. Juist deze vrijheid maakt het mogelijk om zich er van te vergewissen dat de software geen ongewenste dingen doet.

Bovendien biedt het gebruik van FOSS de Nederlandse burger en overheid veel andere voordelen.

Ik adviseer de Nederlandse overheid om gebruik te maken van vrije- opensourcesoftware om de in de brief genoemde risico’s te minimaliseren, en niet slechts een enkel pakket van een specifieke leverancier uit te faseren.

Update: Ik werd er door iemand op Twitter op gewezen dat Kaspersky heeft aangeboden de source code te laten inspecteren door de Amerikaanse overheid. De code laten inspecteren is natuurlijk heel iets anders als de code onder een vrije licentie beschikbaar maken, maar het is wel een tegemoetkoming aan de vraag naar transparantie. Het zou helemaal mooi en krachtig zijn als Kaspersky zijn virusscanner als vrije software beschikbaar zou maken. Dat zou alle kritiek  moeten doen verstommen.

Het ICT-project basisregistratie persoonsgegevens, operatie BRP, is totaal mislukt. Lees hier (inderdaad, niet in het verplicht voorgeschreven open formaat) het ongecorrigeerd stenogram van het debat. Of bekijk hier de commissievergadering of het plenair debat (inderdaad, om dit te zien heb je proprietary software nodig).

Het project is gestopt maar heeft inmiddels € 100.000.000 gekost. Wat heeft de Nederlandse burgergemeenschap hier nu voor gekregen? En hoe kunnen zulke projecten beter in de toekomst? Hoe moet de overheid nu verder met ICT-projecten? Het rapport van het parlementair onderzoek naar ICT-projecten bij de overheid geeft al enkele aanbevelingen. Ook over het gebruik van opensourcesoftware.

Maar mijn aanbeveling is: ‘Werk de open source way’, hiermee bedoel ik dat niet alleen de software beschikbaar is als vrije software en opensourcesoftware, maar dat de hele manier van werken op ‘the open source way’ gebeurt:

1. Accepteer alleen vrije software en opensourcesoftware:
   1. Eis de de essentiële vrijheden (free software) voor de gebruiker van de software.
   2. Eis open source software zodat de broncode beschikbaar is.
2. Werk ‘the open source way’:
   1. Open uitwisseling van kennis, ideeën en informatie zodat mensen kunnen leren, samenwerken en hergebruiken.
   2. Iteratief, agile, DevOps, sprints, scrum – elke cyclus levert al iets op. Alles is meteen beschikbaar voor het publiek. Geen big bang, waterval  approach.
   3. Transparantie by default (code, kosten, projectvoortgang).
   4. Voorkom declareren zonder te leveren: korte duidelijke resultaten: DevOps. Per cyclus wordt afgerekend.
   5. Hierdoor is exit-strategie ook weer minder noodzakelijk. Alles is immers al beschikbaar.
   6. Meritocratie, dus niet: het is duur dus het moet wel goed zijn.
3. Bouw een community van gebruikers, leveranciers en opdrachtgevers:
   1. Zorg dat er interne expertise is bij overheid (vooral ook over ‘the open source way’).
   2. Werk samen.
   3. Werk aan een vertrouwensrelatie door tastbare resultaten.
   4. Werk met open projectplanning.
   5. Werk met korte sprints met duidelijke kosten en resultaten; een open transparant budget per sprint.
   6. Werk samen met partijen die zich hebben bewezen in deze manier van werken.
   7. Wees kritisch met het inhuren van bedrijven die een vendor lock-in strategie hanteren.
   8. Dus niet dóór externen en gecontroléérd door externen; eigen controle door de overheid.
   9. Accepteer geen boeteclausules die stoppen duur maken.

Het voortijdig einde van operatie BRP laat het belang van een exit-strategie zien. Blijkbaar kan een exit-strategie al relevant zijn voordat het project is afgerond. Een exit-strategie beschrijft hoe het stoppen van een project of het veranderen van software of softwareleverancier vorm krijgt. Elk softwareproject zou een exit-strategie moeten hebben.

Het schijnt dat er geen duidelijke exit-strategie is voor operatie BRP. Dit leidde tot de volgende moeilijkheden:

1. De overdracht van de source code. De source code moet achteraf beschikbaar worden gemaakt  (en we moeten nog maar zien of dat echt gaat gebeuren). De broncode had al vanaf het begin van het project vrij beschikbaar moeten zijn, inclusief de volledige tool-chain, issue tracker en documentatie.
2. Mogelijkerwijze moeten er boetes worden betaald omdat het project wordt stopgezet.

Er is overigens brede politieke overeenstemming dat ICT-projecten anders moeten, maar in de praktijk wil het nog maar niet lukken. Zie ook mijn oproepen tot het gebruik van vrije software en opensourcesoftware aan diverse formateurs (Kamp en Bos, Schippers).

Ik ben graag bereid als dure externe adviseur verder mee te denken over hoe de overheid ICT-projecten meer ‘the open source way’ zou kunnen uitvoeren of om mijn kennis en ideeën gratis met politieke partijen te delen.