Studie: Unternehmen setzen verstärkt auf Open Source

Im vergangenen Jahr haben Unternehmen weltweit den Einsatz von Open Source deutlich erhöht. Obwohl die Unternehmen die mit Open Source verbundenen Bedenken bezüglich der sicherheitsrelevanten und operationellen Risiken bereitwillig zur Kenntnis nehmen, hält das effektive Management von Open Source nicht mit der zunehmenden Nutzung mit, wie die aktuelle Open Source 360-Grad-Studie 2017 zeigt, die das Black Duck Center für Open Source Research & Innovation jetzt veröffentlicht hat.

Die COSRI-Umfrage erstreckte sich auf 819 Umfrageteilnehmer, vorwiegend aus den USA und dem EMEA-Raum, darunter 74 Prozent Software-Entwickler, IT-Fachleute, Systemarchitekten, Entwicklungsleiter und Sicherheitsexperten.

Beinahe 60 Prozent der Befragten geben an, dass der Gebrauch von Open-Source-Code in ihrem Unternehmen im vergangenen Jahr gestiegen ist. Gründe dafür sind: Kostenersparnis, einfacher Zugang und kein Vendor-Lock-In (84 Prozent); die Möglichkeit zur Anpassung des Codes und direkten Fehlerbehebung (67 Prozent); bessere Funktionen und technische Fähigkeiten (55 Prozent) sowie das Tempo bei Open-Source-Evolution und Innovation (55 Prozent).

Die Befragten führen zudem hinsichtlich der positiven Auswirkungen auf das Geschäft die beschleunigte Innovation (55 Prozent) und Qualitätsverbesserung (44 Prozent) an.

Obwohl die Unternehmen Open Source zugunsten schneller Anwendungsentwicklung und erhöhter Entwicklungsagilität bereitwillig aufgreifen, bringen die Befragten diverse Bedenken zum Ausdruck. 66 Prozent sehen Lizenzierungsrisiken beziehungsweise fürchten den Verlust von geistigem Eigentum (66 Prozent). 64 Prozent befürchten eine Gefährdung interner Anwendungen durch die Ausnutzung von Open-Source-Schwachstellen, 71 Prozent die Ausnutzung von Open-Source-Schwachstellen in externen Anwendungen, zudem in Bezug auf die unbekannte Qualität der Komponenten (74 Prozent) sowie in Bezug auf das Versagen der Entwicklungsteams bei der Einhaltung der internen Richtlinien (61 Prozent).

Ungeachtet dieser Bedenken gibt etwa die Hälfte der Befragten an, dass ihre Organisation keine formalen Richtlinien zur Auswahl und Genehmigung von Open Source hat. Lediglich 15 Prozent haben automatisierte Prozesse etabliert, um den Open-Source-Gebrauch zu verwalten.

Hinsichtlich der Verwaltung und Sicherung von Open Source geben die Befragten ihren Unternehmen nur mittelmäßige Bewertungen, wobei von diesen gerade etwa die Hälfte die zugehörigen Lizenzbestimmungen einhält (54 Prozent), sich der Sicherheitslücken bewusst ist (55 Prozent), weiß wo und welche Open-Source-Version gerade integriert ist und eingesetzt wird (54 Prozent), konform mit internen Richtlinien ist (44 Prozent) ist.

Die Ergebnisse der Open Source 360-Grad-Studie zeigen, dass das Tracken und Beheben von Open Source-Schwachstellen in erster Linie durch manuelle Prozesse geschieht, die von internen Ressourcen (53 Prozent) durchgeführt werden. Nur 27 Prozent der Befragten berichteten von automatisierter Identifikation und Beseitigung von bekannten Open-Source-Schwachstellen.

„Die Ergebnisse der Open Source 360-Grad-Studie 2017 passen genau zu den Erfahrungen, wie wir sie mit Unternehmen jeder Größe in sämtlichen Branchen weltweit sammeln. Unternehmen setzen aus ökonomischen und produktionstechnischen Gründen eine enorme Menge an Open-Source-Code ein, doch bisher sind die meisten nicht effektiv, wenn es um dessen Sicherung und Verwaltung geht“, so Lou Shipley, CEO bei Black Duck. „Dies ist aus mehreren Gründen überraschend. Heutzutage macht Open Source 80 bis 90 Prozent des Codes einer modernen Anwendung aus und die Anwendungsschicht ist ein primäres Ziel für Hacker. Das bedeutet, dass die Ausnutzung bekannter Open-Source-Schwachstellen das bedeutendste Risiko für die Anwendungssicherheit darstellt, dem sich die meisten Organisationen gegenüber sehen.“

Die Antworten auf die Umfrage stehen „sehr im Einklang mit den Ergebnissen der Open-Source-Audits stehen, die wir für unsere Kunden durchführen“, wie Shipley weiter anmerkt.

Open Source Security and Risk Analysis (OSSRA)-Report (Screenshot: ZDNet.de)

Die On-Demand-Business-Unit von Black Duck führt eigenen Aussagen zufolge jährlich Hunderte von Open-Source-Code-Audits durch, insbesondere bei Fusionen und Übernahmen. Im kürzlich veröffentlichten Open Source Security and Risk Analysis (OSSRA)-Report, bei dem 1071 Anwendungen im Jahr 2016 untersucht wurden, fanden sich laut Black Duck sowohl ein hohes Level von Open-Source-Nutzung – 96 Prozent der Anwendungen enthielten Open-Source-Code – als auch ein hochgradiges Risiko für Open-Source-Schwachstellen – mehr als 60 Prozent der Anwendungen enthielten Open-Source-Sicherheitslücken.

Im Open Source Security and Risk Analysis (OSSRA)-Report in den getesteten Applikationen im Finanzwesen 52 Open-Source-Schwachstellen pro Anwendung entdeckt; 60 Prozent der Anwendungen enthielten Hoch-Risiko-Schwachstellen. Im Einzelhandel und E-Commerce wurden bei 83 Prozent der getesteten Anwendungen Hoch-Risiko-Schwachstellen gefunden.

Die diesjährige Open Source 360-Grad-Studie, die von Black Ducks COSRI durchgeführt wurde, ist der Nachfolger der Future of Open Source-Studie, die jahrelang gemeinsam von Black Duck und North Bridge vorgestellt wurde.

Eine detaillierte Präsentation der Open Source 360-Grad-Studie wird ab 22. Juni im Anschluss an ein COSRI-Webinar zu den Studienergebnissen, das ab 17 Uhr startet, auf der Black Duck Webseite verfügbar sein.

Eine detaillierte Präsentation der Open Source 360-Grad-Studie wird ab 22. Juni nach dem Webcast auf der Black Duck Webseite verfügbar sein (Screenshot: ZDNet.de).

Am Open Source 360°-Report 2017 wirkten mit (Platinum Collaborators gefettet): Appnovation, Bareos GmbH & Co. KG, Black Duck Software, Capital One, Couchbase, Credativ, EnterpriseDB, Grid Protection Alliance, InfoSys, Open Hub, Open Invention Network (OIN), Open-Xchange, Opmantek, (Open Source Academy of Arts, Science and Technology) of Pakistan, Pentaho, Red Hat, Rift-io, Rocket.Chat, Symphony Foundation, univention, WIPRO sowie WP Engine.

Tipp: Wie gut kennen Sie sich mit Open Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.