Closed source

Closed source, ook wel proprietary software genoemd, verwijst naar software waarvan de broncode niet publiek beschikbaar is. Alleen de ontwikkelaar of het bedrijf dat de software bezit, heeft toegang tot de broncode en bepaalt wie deze mag inzien, aanpassen of distribueren. Binnen cybersecurity heeft de keuze tussen closed source en open source software significante implicaties voor de beveiliging, het vertrouwen en de controle die een organisatie heeft over haar digitale infrastructuur. Veel beveiligingsoplossingen, van firewalls en antivirussoftware tot SIEM-platforms en endpoint protection, zijn beschikbaar als zowel closed source als open source. Het begrip van de voor- en nadelen van closed source software is essentieel voor het maken van weloverwogen inkoopbeslissingen die passen bij het risicoprofiel en de compliance-eisen van de organisatie.

Hoe werkt closed source software?

Bij closed source software distribueert de leverancier uitsluitend de gecompileerde, uitvoerbare versie van de software, niet de broncode. Gebruikers ontvangen een binair bestand dat op hun systemen kan worden geinstalleerd en uitgevoerd, maar dat niet kan worden geanalyseerd, gemodificeerd of herdistribueerd. De gebruiksvoorwaarden worden vastgelegd in een licentieovereenkomst (EULA) die doorgaans het reverse engineeren, decompileren of aanpassen van de software verbiedt.

De leverancier is volledig verantwoordelijk voor het ontwikkelen, onderhouden en beveiligen van de software. Dit betekent dat de leverancier security-patches ontwikkelt en distribueert, meestal via een update-mechanisme dat in de software is ingebouwd. Gebruikers zijn afhankelijk van het patchbeleid van de leverancier: hoe snel worden kwetsbaarheden ontdekt en gerepareerd? Hoe frequent worden updates uitgebracht? Volgens Huntress bieden de meeste closed source leveranciers dedicated security-teams en klantenondersteuning om beveiligingsproblemen aan te pakken.

Closed source software wordt doorgaans geleverd met ondersteuningscontracten, service level agreements (SLA's) en garanties die de leverancier verplichten om de software te onderhouden en beveiligingsproblemen op te lossen. Dit biedt organisaties een aanspreekpunt en juridische zekerheid die bij open source software niet altijd aanwezig is. Grote closed source leveranciers investeren substantieel in interne security-audits, penetratietests en bug bounty-programma's om kwetsbaarheden proactief te identificeren.

Het business model van closed source software is gebaseerd op licentie-inkomsten of abonnementen. De leverancier heeft een financiele prikkel om de software veilig en functioneel te houden, omdat klanten anders overstappen naar een concurrent. Dit kan leiden tot consistente kwaliteit en langetermijnondersteuning, maar ook tot vendor lock-in wanneer de kosten van migratie naar een alternatief hoog zijn.

Wanneer heb je closed source software nodig?

Closed source software is vaak de juiste keuze wanneer een organisatie behoefte heeft aan een kant-en-klare oplossing met professionele ondersteuning. Voor organisaties zonder uitgebreide IT-afdeling of security-expertise biedt closed source software een gebruiksklaar product met een helpdesk, documentatie en gegarandeerde updates. De drempel om aan de slag te gaan is doorgaans lager dan bij open source alternatieven die meer technische kennis vereisen.

In gereguleerde sectoren kan closed source software de voorkeur verdienen vanwege de beschikbaarheid van certificeringen en compliance-documentatie. Veel closed source beveiligingsoplossingen zijn gecertificeerd volgens standaarden als Common Criteria, SOC 2, ISO 27001 of branchespecifieke normen. Deze certificeringen vereenvoudigen het compliance-traject voor organisaties die moeten voldoen aan NIS2, AVG of sectorale regelgeving.

Organisaties die maximale controle willen over de technische ondersteuning en een garantie op beschikbaarheid van patches, kiezen vaak voor closed source. De SLA's en ondersteuningscontracten bieden een contractueel kader dat bij open source projecten ontbreekt of minder formeel is geregeld. Bij mission-critical systemen kan deze zekerheid doorslaggevend zijn.

Closed source is ook relevant wanneer de functionele vereisten goed aansluiten bij een specifiek commercieel product. Als een closed source oplossing exact biedt wat je nodig hebt, met een bewezen track record en een stabiele leverancier, dan weegt het voordeel van volledige ondersteuning vaak zwaarder dan de transparantievoordelen van open source.

Voordelen en beperkingen van closed source software

Het voornaamste voordeel van closed source software vanuit beveiligingsperspectief is de strakke controle over het ontwikkelproces. De leverancier beheert de volledige codebase, wat het risico van ongecontroleerde bijdragen of kwaadaardige code-injecties vermindert. Security-updates worden centraal beheerd en gedistribueerd, waardoor het risico op inconsistente patches afneemt. De supply chain is doorgaans beter te overzien dan bij open source projecten met honderden contribuanten.

Professionele ondersteuning en klantenservice zijn sterke punten. Bij een beveiligingsincident of een kritieke kwetsbaarheid heb je een aanspreekpunt dat contractueel verplicht is om te helpen. De leverancier heeft de kennis en de broncode om problemen snel te diagnosticeren en op te lossen. Voor organisaties die 24/7 beschikbaarheid en snelle reactietijden nodig hebben, is dit een belangrijk voordeel.

De beperkingen zijn echter significant vanuit een security-perspectief. De broncode is niet onafhankelijk te auditen door security-onderzoekers of de gebruiker zelf. Je moet vertrouwen op de security-praktijken van de leverancier zonder deze te kunnen verifieren. Kwetsbaarheden kunnen langer verborgen blijven omdat het beperkte aantal ogen dat de code bekijkt. Volgens het Wilson Center is het moderne cybersecurity-debat verschoven van 'open versus closed' naar hoe software wordt beheerd, wie het onderhoudt en hoe snel problemen worden opgelost.

Vendor lock-in is een reeel risico. Als de leverancier stopt met de ontwikkeling, failliet gaat of de prijzen sterk verhoogt, zit je vast aan software die je niet zelf kunt onderhouden of aanpassen. Bij het einde van de levenscyclus van een closed source product kan de migratie naar een alternatief tijdrovend en kostbaar zijn. Daarnaast kan de afhankelijkheid van het patchbeleid van de leverancier problematisch zijn als deze traag reageert op gemelde kwetsbaarheden.

Veelgestelde vragen over closed source software

Is closed source software veiliger dan open source?

Niet per definitie. Onderzoek toont aan dat er geen significant verschil is in de ernst van kwetsbaarheden tussen open en closed source software. De beveiliging hangt af van de kwaliteit van het ontwikkelproces, de snelheid van patching en het security-bewustzijn van het team, niet van het licentiemodel.

Kan ik closed source software laten auditen?

Sommige leveranciers bieden broncode-inzage aan onder strikte voorwaarden, zoals in een beveiligde omgeving. Daarnaast kun je de gecompileerde software laten testen via penetratietests en dynamische analyses. Een volledige broncode-audit is bij closed source software echter zelden mogelijk.

Wat gebeurt er als de leverancier stopt met ondersteuning?

Bij end-of-life van closed source software ontvang je geen security-patches meer, wat een direct beveiligingsrisico vormt. Plan migratie ruim van tevoren en neem contractuele afspraken op over broncode-escrow, zodat je in noodgevallen toegang hebt tot de code.

Wat is het verschil tussen closed source en proprietary software?

De termen worden vaak door elkaar gebruikt. Closed source benadrukt dat de broncode niet openbaar is. Proprietary benadrukt het eigendomsaspect, de leverancier bezit alle rechten. In de praktijk verwijzen beide termen naar dezelfde categorie software.

Hoe kies ik tussen open source en closed source beveiligingssoftware?

Beoordeel je interne expertise, ondersteuningsbehoeften, compliance-eisen en budget. Closed source biedt meer kant-en-klaar gemak en ondersteuning. Open source biedt meer transparantie en flexibiliteit. Veel organisaties combineren beide in een hybrid aanpak.

Vind de juiste beveiligingssoftware voor jouw organisatie. Bekijk Consultancy & Advies aanbieders op IBgidsNL.