# LLM Context
URL: https://diegocecato.dcsolution.it/open-source-costo-nascosto-chi-mantiene-dipendenze/

# Open source: il costo nascosto è non sapere chi lo mantiene

> Analisi di Diego Cecato sulla concentrazione della manutenzione nei progetti open source critici e sul rischio operativo che nasce quando dipendenze importanti non hanno responsabilità, sostituibilità e continuità governate.

Punti chiave:
- uno studio Data Drop su 23 progetti open source critici rileva che 11 hanno una o due persone con almeno dieci commit nell'anno analizzato;
- il dato segnala concentrazione della manutenzione ma non rappresenta tutto l'ecosistema open source;
- il bus factor riguarda distribuzione della conoscenza, successione e capacità di intervento, non un giudizio sui singoli maintainer;
- una SBOM elenca componenti e versioni ma non assegna automaticamente responsabilità, tempi di reazione o percorsi di rollback;
- per le dipendenze realmente critiche servono ownership interna, test di aggiornamento, sostituibilità misurata e continuità operativa.

## Article

- [Open source: il costo nascosto è non sapere chi lo mantiene](https://diegocecato.dcsolution.it/open-source-costo-nascosto-chi-mantiene-dipendenze/): articolo completo su manutenzione, bus factor, SBOM e responsabilità delle dipendenze open source.

## Primary sources

- [Data Drop: Holding Up the Internet](https://sheets.works/data-viz/holding-up-the-internet): analisi pubblica dei 23 progetti e metodologia della rilevazione.
- [Data Drop dataset v2](https://sheets.works/assets/holding-up-the-internet/data/dataset_v2.json): dataset utilizzato per i conteggi citati nell'articolo.
- [CERT-EU advisory on xz Utils](https://cert.europa.eu/publications/security-advisories/2024-032/): advisory sull'incidente xz e sulle versioni compromesse.
- [Linux Foundation: Census III](https://www.linuxfoundation.org/press/open-source-usage-trends-and-security-challenges-revealed-in-new-study): studio sulla diffusione e criticità delle dipendenze open source.

## Related reading

- [Deno entra in Cloudflare: un runtime aperto non basta per uscire dal cloud](https://diegocecato.dcsolution.it/deno-cloudflare-workerd-celld-portabilita-self-hosting/): sulla differenza tra disponibilità del codice e portabilità operativa reale.
- [EDG diventa open source: il lock-in non scompare](https://diegocecato.dcsolution.it/edg-front-end-cpp-open-source-lock-in/): sul rapporto tra apertura del codice e costo reale di sostituzione architetturale.

## Optional

- [Articoli di Diego Cecato](https://diegocecato.dcsolution.it/articoli/): archivio degli articoli tecnici ed editoriali.