Un cliente le está pidiendo a mi compañía que escriba estándares internos que el software de código abierto debe cumplir antes de que lo aprobemos para su uso en nuestras estaciones de trabajo. Nuestra política siempre ha sido subjetiva y difícil de cuantificar. Utilizamos productos muy populares y de gran reputación como GPG, Ruby y 7-Zip, y desconfiamos de los proyectos nuevos y no probados. Como parte de una política más amplia que también describe esta prueba de "alta reputación", me gustaría poder apuntar a una fuente de terceros que proporcionaría algún tipo de calificación de los productos OSS. Si bien es bastante fácil encontrar fuentes que le indiquen cuándo un producto no es no considerado seguro, parece más difícil encontrar un lugar que le diga que sí. ¿Alguien sabe de una fuente que nos proporcione alguna confirmación de terceros (o refutación) a nuestras opiniones de que algún producto parece estar establecido y de buena reputación?
Tenga en cuenta que soy consciente de los argumentos sobre la seguridad relativa de los productos OSS frente a los productos de código cerrado, pero no es relevante aquí; el cliente es más desconfiado de OSS y no hay nada que pueda hacer al respecto.