Açık kaynak intranet: ücretsiz mi, yoksa maliyeti başka yerde mi?

"Lisans ücreti yok" cümlesi, açık kaynak çözümlerin en çekici ve en yanıltıcı tarafı. Yazılımın kendisi ücretsiz olabilir; onu çalışır, güvenli ve kullanılır hâlde tutmak ücretsiz değil.

Bu yazı, kararı romantik değil hesaplı vermek için yazıldı.

Maliyet nereye kayıyor?

Lisans kalemi sıfırlandığında ortaya çıkan kalemler:

Kurulum ve yapılandırma. Sunucu hazırlığı, veritabanı, uygulama kurulumu, SSL, e-posta entegrasyonu. Bir defalık ama uzman zamanı gerektiriyor.

Güncelleme ve yama. Açık kaynak projelerde güvenlik açıkları hızlı yayımlanıyor — ve yamayı uygulamak sizin işiniz. Yamanın ertelendiği kurulumlar, saldırganlar için bilinen hedef hâline geliyor.

Özelleştirme. Türkçe arayüz, şirkete özel alanlar, İK sistemi entegrasyonu. Bunlar çoğu zaman geliştirme işi demek.

Destek. Sorun çıktığında arayacak kimse yok; topluluk forumu ve dokümantasyon var. Ticari destek paketi alınabiliyor ama o da bir maliyet.

Ekip bağımlılığı. Kurulumu yapan kişi ayrıldığında ne olacak? Açık kaynak kurulumlarında en büyük risk, tek kişiye bağımlılık. Yedekleme mantığını yetenek yönetimi ve yedekleme planı yazısında ele aldık.

Ne zaman mantıklı?

Açık kaynak, şu profillerde gerçekten iyi bir seçim:

• Güçlü ve müsait bir teknik ekip varsa. Bu işi yapacak kişi zaten kadroda ve boş kapasitesi varsa denklem değişiyor.
• Özelleştirme ihtiyacı yüksekse. Kaynak koda erişim, ticari ürünlerde mümkün olmayan uyarlamalara izin veriyor.
• Veri tamamen içeride kalmak zorundaysa. Barındırma tartışmasını bulut mu sunucu mu yazısında ele aldık.
• Kapsam dar ve netse. Örneğin yalnızca bir wiki ihtiyacı varsa, olgun bir açık kaynak wiki fazlasıyla yeterli olabiliyor.

Ne zaman mantıklı değil?

• BT ekibi zaten yetişemiyorsa
• İhtiyaç geniş ve entegre ise (duyuru + talep + izin + eğitim + saha)
• Mobil deneyim kritikse — açık kaynak projelerin mobil tarafı genellikle zayıf
• Sertifikasyon ve denetim gereklilikleri varsa; kanıt üretimi sizin sorumluluğunuzda olacak, kapsamını ISO 27001 ve intranet yazısında ele aldık
• Hızlı devreye alma gerekiyorsa

Örnek: iki yıl sonra yapılan hesap

Bir şirket, açık kaynak bir portal kuruyor. İlk yıl memnun: lisans maliyeti yok, kurulum bir ayda tamamlanmış.

İkinci yılın sonunda yapılan değerlendirmede tablo şöyle: sistemi kuran yazılımcı ayrılmış, iki büyük sürüm güncellemesi ertelenmiş (uyumsuzluk riski nedeniyle), mobil erişim için yapılan özel geliştirme bakımsız kalmış ve Türkçe arayüz çevirisi yarım.

Toplam harcanan geliştirici zamanı hesaplandığında, ticari bir aboneliğin iki yıllık bedelinin üzerine çıkıyor — üstelik sistem hâlâ eksik.

Bu, açık kaynağın kötü olduğunu göstermiyor. Gösterdiği şey, sahiplik maliyetinin planlanmamış olması. Aynı şirket, işin bir kişinin yan görevi değil tanımlı bir sorumluluk olduğunu baştan kabul etseydi sonuç farklı olabilirdi.

Değerlendirirken sorulacaklar

Bir açık kaynak projeyi değerlendirirken bakılması gerekenler:

1. Proje canlı mı? Son commit ne zaman, kaç aktif geliştirici var, sürüm sıklığı ne?
2. Güvenlik açıkları nasıl yönetiliyor? Bildirim kanalı ve yama süresi var mı?
3. Dokümantasyon kalitesi. Kurulum ve yükseltme belgeleri güncel mi?
4. Topluluk büyüklüğü. Sorun çıktığında cevap bulabilecek misiniz?
5. Lisans türü. Ticari kullanım ve değişiklik hakları nasıl?
6. Veri taşınabilirliği. Dışa aktarım formatları neler? Geçiş konusunu intranet geçiş ve veri taşıma yazısında ele aldık.
7. Ticari destek seçeneği var mı? Olması, risk azaltıcı bir çıkış kapısı sağlıyor.

Ticari destekli açık kaynak: orta yol

Birçok olgun açık kaynak projenin arkasında, ticari destek ve barındırma sunan bir şirket bulunuyor. Bu model, iki dünyanın arasında duruyor: kod açık ve kilitlenme riski düşük, ama güncelleme, yedekleme ve destek sözleşmeye bağlı.

Avantajı, çıkış esnekliği: sağlayıcıdan memnun kalmazsanız aynı yazılımı başka bir yerde ya da kendi sunucunuzda çalıştırabiliyorsunuz. Ticari kapalı kaynak ürünlerde bu seçenek yok.

Dezavantajı, maliyetin ticari çözümlere yaklaşması. "Ücretsiz" beklentisiyle bakıldığında hayal kırıklığı yaratıyor; "kilitlenmeyen ticari çözüm" olarak bakıldığında mantıklı.

Değerlendirirken sorulacak soru şu: destek veren şirket, projenin ana geliştiricisi mi yoksa üçüncü bir taraf mı? Ana geliştiricinin verdiği destek, sorunun kaynağına doğrudan erişim demek.

Sözleşmede bakılacak maddeleri SLA ve destek beklentileri yazısında listeledik.

Sık sorulan sorular

Açık kaynak daha mı güvensiz? Ne daha güvenli ne daha güvensiz — belirleyici olan bakım. Kod açık olduğu için açıklar hızlı bulunuyor; aynı hızda yama uygulanıyorsa güvenli, uygulanmıyorsa değil.

Hibrit yaklaşım mümkün mü? Evet ve yaygın: bazı ihtiyaçlar için açık kaynak (wiki, doküman), bazıları için ticari çözüm. Risk, sistem sayısının artması ve çalışanın hangi bilginin nerede olduğunu bilememesi. Kanal ve sistem sadeleştirmesini iç iletişim kanal matrisi yazısında ele aldık.

Küçük şirkete uygun mu? İhtiyaç dar ve teknik yeterlilik varsa evet. Aksi hâlde, küçük şirketin en kıt kaynağı zaman — ve açık kaynak zaman istiyor. Ölçeğe göre öncelikleri 50 kişilik şirketin intranete ihtiyacı var mı yazısında tartıştık.

Denemek için nasıl başlamalı? Sınırlı kapsamlı bir pilotla: tek bir departman, tek bir kullanım senaryosu, tanımlı bir süre. Yöntemi intranet pilot projesi yazısında ele aldık.