Open Source Overheidswerk - Best Practices en Uitdagingen

Op 27 September gaf ik een presentatie over 2,5 jaar open source ontwikkeling aan de diverse corona apps voor het Ministerie van VWS. De meet-up werd georganiseerd door Code4NL en vond plaats bij de Gemeente Amsterdam.

Transcript

1. OPEN SOURCE OVERHEIDSWERK- BEST PRACTICES EN UITDAGINGEN IVO JANSCH CODE4NL MEETUP 27-9-2022
2. Founder / CEO Solution architect Organisator WIE IS IVO? @ijansch
3. ACHTERGROND WELKE APPS HEBBEN WE HET OOK ALWEER OVER?
4. 3 BEKENDE APPS CORONAMELDER GGD CONTACT CORONACHECK
5. CORONAMELDER 3 APPS? 3 ECOSYSTEMEN! • Portal for submitting positive tests • Nationwide rollout of portal • Authentication via SSO GGDs • Rollout / implementation in 26 GGD regions • Training, communication • HSM • Interface with European gateway • Apple and Google • DP-3T GGD CONTACT CORONACHECK • BCO Portal • Interfaces to CoronIT / HPZone • Nationwide rollout of portal • Authentication via SSO GGDs • Secure mail portal • DigiD implementation • Rollout / implementation in 26 GGD regions • HSM • Training, communication • Interfaces to GGD, RIVM • Interfaces to testaanbieders • DigiD implementation • BRBA interfacing • HKVI / ZKVI / GKVI - Portals for healthcare pro's • CKVP - IVR (request QR by phone) • Standardisation across EU • Interface to European gateway • Interfacing with other countries • DCC Scanner • HSM • Scanner hardware • Trust frameworks (EU, PKI, PKI-O)
6. WAAROM OPEN SOURCE
7. WAAROM OPEN SOURCE? • Vertrouwen winnen door transparantie • “Een app als dit krijgt alleen voldoende draagvlak als we de ontwikkeling volledig transparant doen” • “Geloof ons” vs “Zelf vaststellen” • Ideeën ophalen • Bijdragen vanuit de community verwelkomen • Als de source ook anders inzetbaar is, is dat goede besteding van belastinggeld
8. ‘VEILIG TEGEN CORONA’ MANIFESTO
9. COMMUNITY
10. OPEN SOURCE BETEKENDE NIET ALLEEN CODE Designs Code Documentatie UX Research Team Engagement Discussie
11. DANKBAAR DAT ER EEN BESTAANDE CODE4NL COMMUNITY WAS COMMUNITY
12. MEETUPS & OPEN DISCUSSIE
13. PRAKTISCHE INRICHTING
14. HOE RICHTEN WE ONZE GITHUB IN? • Bij eerste commit de licentie f iles al plaatsen • Voorkomt dat commits eventueel ‘buiten de licentie vallen’ • Contributor License Agreement opstellen en CLA bot inrichten • Personen die voor het ministerie werken dragen hun auteursrecht al per contract over, dus hoeven geen CLA • Voor overigen borgt de CLA
15. HOE RICHTEN WE ONZE GITHUB IN? • 4 ogen principe borgen (via GitHub branch protection rules) • Niemand kan naar main committen zonder een Pull Request te maken • Pull Request kan alleen worden gemerged met een positieve code review • “Signed commits” vereisen • Manier om de auteur vast te stellen • Gebruik de juiste accounts/organisations • Bijv ‘GitHub.com/minvws'
16. PRIVATE VS PUBLIC REPOS Public 
 repository Private repository Pull requests team Periodic sync PR, review, merge
17. PRIVATE VS PUBLIC REPOS Public 
 repository Private repository Pull requests team Pull requests community Periodic sync PR, review, merge PR, review Merge
18. HOE RICHTEN WE ONZE GITHUB IN? • Repositories per deelsysteem • Met een naamconventie die relatie met project duidelijk maakt • Bijv. nl-covid19-coronacheck-app-ios • ‘Coordination’ repositories voor documentatie / beheer • ‘Provenance’ repositories voor bewijsstukken
19. HOE RICHTEN WE ONZE GITHUB IN? • Private vs Public repositories • Private repository is ‘voorstadium’ • Nuttig bij volgordelijkheid • Bijv vooruitwerken in afwachting van een persco / kamerbrie f ing • Nuttige extra stap om blunders te voorkomen • Niet bedoeld om zaken gesloten te houden -> uiteindelijk alles naar de public repo • Geautomatiseerd synchroniseren (‘sync script’)
20. Checks automatiseren waar mogelijk
21. AL OF NIET AFSCHERMEN TEAM
22. NEAR REAL-TIME VS SNAPSHOTTING • Alle commits doorzetten, of • Per release doorzetten (snapshot) • Commits squashen
23. IN GEVAL VAN APPS, EEN MANIER OM TE BORGEN DAT DE OPEN CODE OOK IN DE STORE TERECHT KOMT VERIFIED BUILDS
24. WAT HEBBEN WE GELEERD? ALS PUBLIEK, PERS EN POLITIEK MEEKIJKEN
25. Betrokkenheid vergroten door op alle lagen de community te koesteren
26. SUCCES FACTOREN • Iemand met visie en pro-open source die de kar trekt • Draagvlak binnen het team • Overheid die zelf de regie over een project neemt • Belang van een community manager
27. THE GOOD, THE BAD & THE UGLY
28. TRANSPARANTIE HELPT TEGEN FAKE NEWS THE GOOD
29. TECH IN THE HOUSE THE GOOD GitHub, Bluetooth, cryptography, sha256, weet je wel.
30. PERS MOEST EVEN WENNEN AAN OPEN SOURCE OVERHEIDS PROJECTEN THE BAD 27-5-2020, EERSTE DESIGN CORONAMELDER ONLINE
31. ELKE BUG KAN TOT KAMER/PERSVRAGEN LEIDEN THE BAD 24-6-2021, BROWSER ISSUE CORONACHECK REPORTED ON GITHUB
32. .. MAAR DAT HELPT DAN WEER BIG TECH TE OVERTUIGEN
33. SOMS WEET DE PERS HET BETER.. THE BAD 9-2021, MEDIA DECIDES TO DUB IT ‘CORONAPAS’
34. SOMS WEET DE PERS HET BETER.. - MAAR MOOI DAT DE DIALOOG OPEN GEVOERD KAN WORDEN THE BAD 9-2021, MEDIA DECIDES TO DUB IT ‘CORONAPAS’
35. STERKE POLARISATIE RICHT ZICH OOK OP TEAMLEDEN THE UGLY
36. THANK YOU! Questions? • ivo@egeniq.com / @ijansch • Code4NL Slack: https://praatmee.codefor.nl
37. CREDITS - Cover foto copyright rijksoverheid - ‘Buildings The Hague’ by Mar10os, Flickr, used under CC BY 2.0 - ‘Spreekgestoelte’ by Risastla, Flickr, under CC BY-SA 2.0 CC BY-ND 2.0: https://creativecommons.org/licenses/by-nd/2.0/ CC BY-SA 2.0 https://creativecommons.org/licenses/by-sa/2.0/ CC BY 2.0 https://creativecommons.org/licenses/by/2.0/