‘Ook bij open source blijft er spanning tussen openheid en controle’

Eind januari ontsloeg de regering Trump enkele democratische leden van toezichthouder PCLOB (Privacy and Civil Liberties Oversight Board). De dienst waakt over de gegevens van Europese gebruikers in Amerikaanse clouddiensten. De verwachting is dat de PCLOB nu minder streng wordt. Wat meer vrijheid oplevert voor cloudproviders en overheden om gebruikersdata in te zien. Dit besluit is de zoveelste aanleiding om vraagtekens te zetten bij de dataveiligheid in Amerikaanse clouds.

Het Europese cloudbedrijf NextCloud hield onlangs een presentatie over open source platforms en hoe die het eigenaarschap van data respecteren. Maar hoe stimuleer je de ontwikkeling? Oprichter Frank Karlitschek wist het wel: “Verplicht de helft van de kritische infrastructuur (elektriciteit, wegennet, sluizen, spoorwegen, waterbedrijven, red.) om op open source software te draaien. Dat zal een enorme investering ontketenen.”

Is dit inderdaad het antwoord? En is de open source cloud per definitie beter? Delta vroeg het hoogleraar digitale platforms prof.dr.ir. Mark de Reuver (faculteit Techniek, Bestuur en Management).

Frank Karlitschek stelde dat de ontwikkeling van open source software enorm geholpen zal worden door een verplichting om er kritische infrastructuur op te laten draaien. Hoe zie jij dat?

“Het is goed om met alternatieven te komen voor de gesloten big tech platformen van nu. Dat is enerzijds vanwege negatieve effecten als marktdominantie of privacyschendingen. Daar komt nu de geopolitiek bij.”

‘De vraag is niet of open source software veilig is, maar onder welke omstandigheden het veilig kan zijn’

Is open source software veilig genoeg voor kritieke infrastructuren?

“Niet per definitie. Er is wel onderzoek naar gedaan, maar dat gaf geen uitsluitsel. Open source software is te inspecteren op zwakke plekken. Dat is gunstig. Maar aan de andere kant zijn de kwetsbaarheden ook zichtbaar voor een kwaadwillende. De vraag is dus niet of open source software veilig is, maar onder welke omstandigheden ze veilig kan zijn.”

De helft van de kritische infrastructuur overzetten op open source software zou enorme investeringen in gang zetten. Werkt het inderdaad zo?

“De afgelopen tijd is er een stroom van Europese regelgeving geweest op het gebied van digitale platforms zoals Google, Amazon en Microsoft. Maar er lijkt nu ook een tegenbeweging te ontstaan met meer aandacht voor het verdienvermogen van de Europese economie. Het Draghi-rapport verwijst daar ook naar. Ik denk dat de echte vraag is: wat is zeggenschap over je data je waard?”

Hoe bedoel je?

“De eventuele voordelen van open source software en minder afhankelijkheid mogen misschien wel wat extra kosten. De vraag is hoeveel en wie dat betaalt.”

Karlitschek zegt dat bedrijven zullen investeren.

“Ja, dat zou kunnen.”

Je lijkt minder overtuigd. Een open source alternatief kost ook publiek geld?

“Zeker als je het hebt over cloudproducten, waarbij de schaal heel belangrijk is. Het vergt grote investeringen om een clouddienst op te zetten en te onderhouden. Dat kan alleen maar uit als je veel abonnees hebt. Daarom zijn er ook maar een paar spelers die de hele markt domineren. Veel partijen, waaronder overheden en universiteiten, zijn overgestapt op die grote spelers. Als je daar een Europees alternatief voor wil ontwikkelen en dat wil opschalen, dan wordt dat misschien iets minder efficiënt of innovatief, of iets duurder of langzamer. Misschien is dat de prijs die we moeten willen betalen voor meer soevereiniteit en autonomie.”

Hoeveel tijd kost dat Europese alternatief? En hebben we de kennis om het te bouwen?

“Kennis van open source is er. De bedrijven die die kennis in huis hebben, zijn er ook. Daar heeft Karlitschek gelijk in. Maar afgezien van het ontwikkelen van open source software gaat het ook over het implementeren, beheren en controleren daarvan. Computergebruikers zijn nu voor een groot gedeelte afnemers geworden van cloudservices met automatische updates. Bij open source moet je updates zelf uitvoeren of er een bedrijf voor inhuren. Open source vraagt dus een meer actieve rol van de gebruiker.”

Wat houdt dat in?

“Je moet je eigen systeem samenstellen uit de beschikbare onderdelen. Je moet zorgen dat je geüpdatet blijft, patches (software updates die veiligheidslekken herstellen, red.) aanbrengen, uitbreidingen verzorgen. En dat liefst niet ad hoc, maar met een architectuurvisie.”

Valt dat onder de taak van een ICT-afdeling?

“Het zit een beetje tussen ICT en bedrijfsvoering in. Dat vereist ICT-architecten die dat kunnen aansturen, en daar is gebrek aan.

Of je moet dat werk uitbesteden aan open source softwarebedrijven die geen geld verdienen aan de software, maar aan het op maat maken van wat voor jou handig is, of een advies eromheen geven of het beheer verzorgen. Net zoals je een bedrijf inhuurt om een website te maken op basis van WordPress, wat ook open source software is. Dienstverlening is het businessmodel van softwarebedrijven, en dat kost dus geld. Open source is niet per se gratis.”

Komt een Europese open source opleving van onder- of van bovenaf?

“Ik denk dat het heel goed is voor de digitale autonomie dat het bewustzijn hierover groeit. Wetgeving is een drijvende kracht, maar Europese wetten schrijven niet voor hóe oplossingen eruit moeten zien. Daarvoor moet je bottom-up aan het werk, samen onderzoek doen met partijen die alternatieve platformen bouwen of complementaire platformdiensten aanbieden. Voor een groot gedeelte is dat ontwerpend onderzoek waarbij je nieuwe platform- of businessmodellen ontwerpt.”

Heb je daar een voorbeeld van?

“Niet exact van open source, maar wel van openheid en platformen in bredere zin. Mijn favoriete voorbeeld is het platform voor horecaondernemers, dat de data van hun verkopen bijhoudt. Daar komen inzichten uit over hoe druk het was, of hoeveel personeel er voor volgende week beschikbaar is. Diezelfde data zijn heel bruikbaar voor leveranciers. Dus hoe opener, hoe beter, want hoe meer waarde voor al die partijen.

Tegelijkertijd betekent is er het risico dat het ene café van het andere kan zien wat daar verkocht is. Of dat leveranciers misbruik maken van informatie. Dus ook al ben je open en bottom-up aan het werk, dan nog moet je alert blijven op marktdominantie en privacyschendingen – dingen die we nu big tech verwijten.”

Dus open source is geen garantie voor open en eerlijk?

“Goede bedoelingen zijn niet genoeg, nee. Ik ben ervan overtuigd dat de strijd tussen openheid en controle blijft terugkeren. Dat is een klassieker in mijn vakgebied van digitale platformen. Ook bij open source of decentralisatie, mijn specialisme, komt dat soort dilemma’s altijd weer terug.”