Les logiciels libres (OSS) sont populaires parce qu'ils bénéficient du soutien d'une communauté répartie, d'un faible coût total de possession (TCO), de transparence, de fiabilité et d'agilité. La nature collaborative du développement OSS favorise des solutions innovantes et accélère les cycles de développement. De plus, l'OSS procure une liberté par rapport à l'enfermement par les fournisseurs et les développeurs, assurant ainsi la viabilité et la flexibilité à long terme des organisations.

Cependant, il existe plusieurs risques de sécurité associés à l'OSS. Sa nature ouverte le rend vulnérable aux injections de code malveillant, à un manque de vérification et à un soutien incohérent. Les vulnérabilités divulguées publiquement peuvent être exploitées par des pirates informatiques et une gestion inadéquate des versions peut mener à l'utilisation de composants désuets et non sécuritaires. Les composants non corrigés présentent des risques pour la sécurité opérationnelle et les projets OSS abandonnés peuvent constituer des menaces importantes s'ils ne sont pas correctement gérés.

Pour atténuer ces risques, notre livre blanc, « Logiciels libres – Avantages, risques de sécurité et atténuation des risques », recommande plusieurs stratégies. Il s'agit notamment de mettre en œuvre l'automatisation de la sécurité, de maintenir un inventaire des composants OSS, de respecter les conventions de nommage et de faire appliquer des politiques interdisant la copie de code provenant d'internet. Il souligne aussi l'importance de créer une nomenclature des matériaux logiciels (SBoM) et d'intégrer les composants OSS dans la chaîne DevSecOps pour une analyse de sécurité continue. D'autres mesures suggérées incluent la surveillance de la production et l'autoprotection des applications à l'exécution (RASP) pour prévenir et traiter efficacement les vulnérabilités. En adoptant ces pratiques, les organisations peuvent profiter des avantages de l'OSS tout en minimisant les risques de sécurité.