Elke keer dat je het hangslotpictogram in je browserbalk ziet, is waarschijnlijk de OpenSSL Library achter de schermen aan het werk. Deze open source-cryptografiebibliotheek vormt de basis voor de beveiligde verbindingen die je wachtwoorden, creditcardnummers en privéberichten beschermen wanneer ze over het internet worden verzonden. Als deze technologieorganisatie, waar veel van afhangt, besluiten moet nemen, zijn duidelijkheid en transparantie dus geen keuze.
“Open, transparant, gericht op de community”: dat zijn de eerste woorden die we horen van Anton Arapov, operationeel directeur bij de OpenSSL Corporation. Toen Arapov drie jaar geleden bij de organisatie kwam, waren er concurrerende prioriteiten. Terwijl een groot deel van de organisatie zich inzette voor de waarden van de open source-community, richtten sommige groepen zich op ondersteuning voor commerciële partijen zoals Microsoft, Amazon en Cisco. Dit verschil zorgde voor een onevenwichtige focus.
“Vroeger was het moeilijk”, legt Arapov uit. “We hadden een mix van mensen... en die mensen hadden uiteenlopende agenda's. Sommigen waren meer op de community gericht, anderen meer op het commerciële aspect. Dat botste bij het beantwoorden van de vragen ...wat is belangrijk om vandaag te doen en wat is belangrijk om morgen te doen?”
Arapov en anderen vonden een structurele oplossing voor deze wrijving. Het OpenSSL Project werd opgesplitst in twee entiteiten: de Corporation voor commerciële activiteiten en de Foundation voor niet-commercieel werk. Hoewel de nieuwe structuur een oplossing bood, bleef een fundamentele vraag bestaan: hoe verzamel je input uit het bredere ecosysteem van mensen die afhankelijk zijn van je software, maar geen betalende klanten of kernontwikkelaars zijn?
De werkelijke gebruikersgroep
Het OpenSSL Project communiceerde van oudsher met twee groepen: betalende klanten aan de commerciële kant en ontwikkelaars die via GitHub betrokken waren bij de open source-kant. Arapov en zijn collega's vermoedden dat er veel meer belanghebbenden waren: academici die cryptografie onderzoeken, kleine bedrijven die afhankelijk zijn van veilige communicatie, grote ondernemingen met specifieke behoeften op het gebied van stabiliteit en voorspelbaarheid, en besturingssystemen en downstreamdistributeurs die de software verpakken. Om er maar een paar te noemen.
“Op een gegeven moment bespraken we hoe we de rest van de community konden bereiken. We hebben verschillende soorten gebruikers. We hebben mensen die geen ontwikkelaars zijn en niet bekend zijn met het ontwikkelen van tools voor ontwikkelaars.”
Als operationeel directeur en informele ‘communitymanager’ van de organisatie nam Arapov het voortouw bij het zoeken naar een oplossing. Hij begon met onderzoek naar hoe andere organisaties de input van hun community beheerden. Hij bestudeerde open source-projecten met grote gebruikersgroepen. Hij onderzocht standaardisatieorganisaties die met succes overeenstemming hadden bereikt over technische besluiten.
“Toen ik begon, had ik een vaag idee dat ik een soort forum nodig had dat idealiter stemmogelijkheden bood. En functies die nuttig zijn voor beheer, zoals communitybeheer.”
Open source-forums boden ruimte voor discussie, maar geen echte stemtools. Standaardisatieorganisaties hadden stemmechanismen, maar de gebruikerservaring was slecht ontworpen. Hij bleef zoeken en raakte steeds ontmoedigder. “Ik begon het gevoel te krijgen dat ik niets zou vinden en genoegen zou moeten nemen met iets dat maar redelijk paste.”
De aanbeveling van ChatGPT
Arapov had duidelijke criteria opgesteld. Ze hadden open source-software nodig die aansloot bij de waarden van het OpenSSL Project. Ze wilden via e-mail kunnen deelnemen zonder het platform te hoeven bezoeken, wat cruciaal was voor engineers die vrijwel altijd in hun inbox werken. Een overzichtelijke interface zonder visuele ruis. Stemmogelijkheden met goede registratie. Alle peilingen op één plek kunnen zien in plaats van discussies te moeten doorzoeken.
“Wat voor mij als engineer ontzettend belangrijk was, was de mogelijkheid om iemand alleen met mijn e-mailprogramma te antwoorden. Ik kreeg dus een melding dat er iets was gebeurd en antwoordde in mijn e-mailprogramma zonder naar het platform te hoeven gaan.”
Samenwerken met kleinere technologieleveranciers was ook belangrijk. “Het is veel makkelijker om contact met ze op te nemen en dat was duidelijk, omdat onze behoeften verschillen van vrijwel alle software die ik zag. We wisten dat we enkele aanpassingen en functies nodig zouden hebben die nog niet bestaan. Hoe kleiner de aanbieder, hoe makkelijker het is om op deze manier te communiceren, dingen uit te leggen en ze ook echt geïmplementeerd te zien.”
Nog een factor woog zwaar. “We hebben een missie en zijn een heel transparante, heel open organisatie. Voor ons was het absoluut belangrijk om een oplossing te hebben die ook open source is. En we waren bereid om zo'n oplossing financieel te ondersteunen.” Naast het waarmaken van hun eigen waarden is open source zo belangrijk omdat het eigenaarschap van hun eigen gegevens en eeuwigdurende rechten op de software garandeert.
Toen een deadline naderde en er nog geen duidelijke oplossing was, probeerde Arapov iets ongebruikelijks. “Ik stopte alles in ChatGPT. ChatGPT gaf me Loomio als eerste resultaat. Opvallend genoeg had ik Loomio nergens anders gevonden. Dus ik dacht: wat is Loomio?”
Hij meldde zich snel aan voor een proefperiode op loomio.com en nam contact op met Loomio Support, medeoprichter en hoofdontwikkelaar Rob Guthrie. “Ik zag OpenSSL in mijn inbox verschijnen en dacht: jeetje”, herinnert Rob zich. Arapov nam vervolgens een abonnement op de pro-versie om de functies uitgebreider te kunnen verkennen.
De mogelijkheid om zelf te hosten gaf de doorslag. “Ik wilde een oplossing die we zelf konden hosten; het is voor ons nog steeds heel belangrijk om eigenaar te zijn van onze gegevens.” Voor een organisatie die cryptografische infrastructuur beheert die wereldwijd internetverkeer beveiligt, valt over datasoevereiniteit niet te onderhandelen. De zorgen van de technische community over veiligheid en controle maakten zelf hosten essentieel.
Een communitystructuur opbouwen
De technische implementatie was eenvoudig. Het infrastructuurteam van Loomio verzorgde de installatie. De grotere uitdaging was het ontwerpen van de communitystructuur zelf. “Het moeilijke was om de juiste structuur voor de communities te bedenken, omdat dat heel belangrijk was. We hebben er zoveel.”
Het OpenSSL Project onderscheidde zes afzonderlijke communities: academici, grote bedrijven, kleine bedrijven, individuen, distributies en committers. Elke community had zowel commerciële als niet-commerciële belangen, wat neerkwam op in totaal twaalf communities binnen de Corporation en de Foundation.
Om deze communities te laten groeien, namen ze contact op met mensen die ze van oudsher kenden: mensen die via mailinglijsten contact hadden gezocht met het OpenSSL Project of die door de jaren heen betrokkenheid hadden getoond. “We vertelden hun dat we een nieuwe plek hadden en dat we hen als onderdeel van deze community zagen. Als het bij je past, sluit je dan aan bij de community. En door mond-tot-mondreclame begon die te groeien.”
Om veranderingen binnen de communities mogelijk te maken, richtten ze enkele door de community gekozen adviescommissies op. Deze commissies brachten de behoeften van de communities naar voren en adviseerden de besturen van zowel de Foundation als de Corporation over het vertalen van die behoeften naar onderdelen van de productroadmap, veranderingen in het bestuur en meer.
De productroadmap herzien
“We hebben een groep engineers met uitgesproken meningen die denken te weten wat iedereen weet, leuk vindt en wil.” Samen hadden ze een lange lijst opgesteld van functies waarvan ze dachten dat gebruikers die nodig hadden.
Daarna begonnen ze geregistreerde communityleden rechtstreeks via Loomio te vragen wat ze wilden. “Het was genoeg om een vraag te stellen op een plek waar mensen kunnen deelnemen. De engineers ontdekten dat de mening van de community soms precies het tegenovergestelde was van wat zij aannamen. De community kan er precies andersom over denken.”
Die ontdekking zette hen zo aan het denken dat het OpenSSL Project een gedurfde keuze maakte. “Toen we onze Loomio-communities in gebruik namen, hebben we die lange lijst met voorgestelde functies opnieuw bekeken. Die functies waarvan we dachten dat het belangrijk was om ze in de toekomst te bouwen. We besloten die hele oude functielijst te laten vallen en opnieuw te beginnen door rechtstreeks met de communities te praten.”
Het veranderproces werkt nu in twee richtingen. “Het doel is dat de communities input kunnen geven op onze besluiten. Er zijn dus naast ontwikkelaars en betalende klanten ook andere mensen die behoeften hebben met betrekking tot de OpenSSL Library. Ze hebben mogelijkheden en functies nodig, wat software maar kan leveren. Het Loomio-platform, dat we OpenSSL Communities hebben genoemd, is een plek waar ze hun behoeften kunnen aangeven en bespreken, waarna vertegenwoordigers van het OpenSSL Project en het bestuur die uiteindelijk kunnen overwegen. We krijgen vóór de bouw directe feedback van de community op voorgestelde functies.”
Communities kunnen hun behoeften aangeven. Het OpenSSL Project kan functies voorstellen voordat ze worden gebouwd. “Wanneer we denken dat het tijd is voor een bepaalde functie, laten we de communities weten dat we die gaan bouwen. En dat we dat op deze manier gaan doen. En we luisteren graag naar jullie. We vragen er feedback op.”
De stem van afgevaardigden
Een functie die het OpenSSL Project nodig had, bestond nog niet in Loomio. In communitygroepen die naar grootte waren ingedeeld, kon een grote onderneming met duizenden werknemers gemakkelijk alle anderen overstemmen. “Wanneer je een consensuspeiling over groepen heen houdt, willen we graag zien wat verschillende organisaties over een bepaald onderwerp denken. Dan kan een organisatie met duizenden werknemers een kleinere organisatie heel gemakkelijk overstemmen.”
Ze wilden dat elke organisatie één stem had (ongeacht hoeveel werknemers deelnamen). De oplossing: één afgevaardigde per organisatie aanwijzen. “Dus wanneer we in onze groepen een peiling houden waarbij we deelname beperken tot één persoon van een bedrijf of tot één stem van het bedrijf, maken we een peiling speciaal voor de afgevaardigden. Zo krijgen we representatieve resultaten uit zulke peilingen, waarbij elk bedrijf slechts één stem heeft.”
Rob bouwde het systeem voor afgevaardigden specifiek voor de behoeften van het OpenSSL Project. De nieuwe functie bleek cruciaal bij verkiezingen voor hun adviescommissies. “Vooral in de community voor grote bedrijven hadden we een zeer omstreden verkiezing waarbij zes mensen streden om één zetel. Het was duidelijk dat een groot bedrijf elke andere kandidaat kon overstemmen om zijn eigen kandidaat naar voren te schuiven.” Met afgevaardigden en één stem per bedrijf verdween dat voordeel.
Het systeem geldt ook voor organisaties zoals academische instellingen. Bij verschillende universiteiten nemen meerdere mensen deel, maar bij bepaalde besluiten staat het OpenSSL Project slechts één stem per instelling toe.
Organisatiegeheugen opbouwen
Voor een project dat 26 jaar bestaat, is historische context belangrijk. “De OpenSSL Library is een heel oud project. En vroeger namen we veel besluiten achter gesloten deuren. Veel mensen waren boos over onze besluiten.”
Mensen vroegen waarom het OpenSSL Project bepaalde keuzes had gemaakt. “Soms krijgen we een vraag als: waarom hebben jullie een besluit op deze manier genomen en niet anders? We konden niet altijd naar een concreet document uit het verleden verwijzen dat liet zien waarom het besluit was genomen.”
Loomio maakt dat document. “Loomio is heel belangrijk voor ons, niet alleen vanuit het perspectief van de input die we willen verzamelen, maar ook vanuit het perspectief van archivering.” Nu kunnen mensen verwijzen naar de exacte discussie waarin een besluit werd genomen en naar de reden daarvoor.
De transparantie heeft nog een doel. Velen blijven sceptisch over de vraag of de input van de community er echt toe doet. “We hebben nog steeds te maken met mensen die niet geloven dat dit werkt. Een van de dingen die ik zoveel mogelijk probeer te doen, is hun voorbeelden geven die laten zien dat het proces werkt. Gebruikers geloven niet dat ze iets kunnen veranderen. Door deze kleine veranderingen door te voeren en te laten zien dat gebruikers een besluit kunnen beïnvloeden, kunnen we laten zien dat het echt werkt.”
Hij ziet een positieve cyclus. “Deelname leidt tot meer deelname.” Hoe meer inhoud en context ze bieden, hoe meer communityleden zich aansluiten. Hoe zichtbaarder hun besluitvorming wordt, hoe makkelijker het is om te bewijzen dat het concept werkt.
Voor een beveiligingsproject waarin vertrouwen en privacy zo fundamenteel zijn, is transparant projectbestuur essentieel voor de missie. “We werken aan cryptografie en mensen moeten ons kunnen vertrouwen. Om dat vertrouwen te krijgen, is openheid de enige manier, of een van de belangrijkste manieren.”
We werken aan cryptografie en mensen moeten ons kunnen vertrouwen. Om dat vertrouwen te krijgen, is openheid de enige manier, of een van de belangrijkste manieren.
Persoonlijk contact
In oktober 2025 organiseerde de OpenSSL Corporation een conferentie in Praag. Ze gaven die heel bewust vorm. “We besloten deze conferentie zo op te zetten dat het geen verkoopconferentie was en niet alleen voor engineers.”
Arapov nodigde Rob uit om aanwezig te zijn en over Loomio te presenteren. “Voor ons, voor het OpenSSL Project op de conferentie, was het naast contact leggen met de community en het team heel belangrijk om het publiek te vertellen wat we anders hadden gedaan, wat er vernieuwend was. De website van de OpenSSL Community, gebaseerd op Loomio-software, was heel belangrijk. Het was dus een enorme hulp om iemand van Loomio erbij te hebben.”
De aanwezigheid van Rob hielp op belangrijke manieren. “Sommigen waren sceptisch. Ze begrepen de keuze voor Loomio niet. Het was heel goed om met hen te kunnen praten en meer uit te leggen over de achtergrond en de bedoelingen van de implementatie van Loomio.”
De conferentie liet iets wezenlijks zien over het opbouwen van een community. “Elkaar persoonlijk ontmoeten maakt zo'n enorm verschil”, vertelt Arapov.
“Al die mensen op de conferentie: ik zou graag sommigen of allemaal in de OpenSSL Communities zien, want degenen die kwamen, geven er echt om, en met degenen die erom geven... moeten we contact houden... Ze kwamen naar de conferentie omdat ze persoonlijk contact wilden leggen.”
Relaties die online waren ontstaan via discussies in Loomio, breidden zich uit naar de fysieke wereld van de conferentie. Daarnaast groeide de online deelname doordat de maandelijkse gesprekken van OpenSSL Communities: Large Businesses meer gelegenheid boden om af te stemmen en in actie te komen. “Het was geweldig om engineers, klanten en managers van bedrijven zoals Amazon, Microsoft, Hewlett-Packard, Cisco en Juniper in één gesprek te zien. Ze hebben geen andere gelegenheid om samen te komen.” De verbindende rol van het OpenSSL Project maakt een groot verschil en vergroot de deelname, zowel online als persoonlijk.
Advies voor open source-projecten
Gevraagd welk advies hij andere open source-organisaties zou geven, is Arapov duidelijk over een veelvoorkomende blinde vlek. “Het is heel belangrijk dat de community van ontwikkelaars niet de enige community binnen een open source-project is. Dit is een probleem bij veel open source-projecten, omdat het meestal de ontwikkelaars zelf zijn die de community beginnen en veel om deze projecten geven.”
“Ze denken misschien dat ze een levendige community hebben, maar meestal zijn het andere ontwikkelaars die hun software gebruiken. Maar heel vaak is er een veel grotere groep gebruikers.”
Het is belangrijk om die andere gebruikers te vinden.
“Interactie tussen ontwikkelaars is belangrijk. Maar de grotere uitdaging is om manieren te vinden om mensen buiten de technische wereld te bereiken en aansluiting te vinden bij gebruikers, compliance-eisen, de realiteit van ondernemingen en het bredere ecosysteem.”
Voor het OpenSSL Project werd Loomio die brug. Het was een manier om een community te creëren en gesprekken te structureren tussen gebruikers met heel verschillende behoeften. “We hadden enige ervaring. Zo wisten we dat grote en kleine bedrijven heel verschillende behoeften hadden. Kleine bedrijven zijn wendbaar en gebruiken vaak nieuwe tools en nieuwe dingen; ze kunnen vaak overstappen en veranderen. Grote organisaties stellen consistentie en voorspelbaarheid voorop en de rest is minder belangrijk.”
Inzicht in zulke verschillen bepaalt rechtstreeks wat de OpenSSL Library is. Het was cruciaal om uiteenlopende perspectieven uit de community uit te nodigen en te betrekken, zodat wat ze bouwden aansloot op werkelijke behoeften.
Vooruitblik
Het bestuur van het OpenSSL Project is bewust minimaal gehouden. “We zijn geen grote organisatie, dus we houden de overhead bij onze besluiten minimaal.” Op dit moment is de besluitvorming op bestuursniveau eenvoudig.
Arapov verwacht dat dit zal veranderen. “We overwegen om ons gebruik van Loomio uit te breiden naar besluitvorming, om besluiten te volgen en vast te leggen. We denken ook dat dit in de toekomst belangrijker zal worden wanneer er meer bestuurszetels zijn, dus meer mensen in de discussie en meer meningen om te verzamelen.”
Het platform dat begon als een middel om de community te betrekken, kan zich ook ontwikkelen tot hun interne bestuurssysteem. Voorlopig dient het één hoofddoel: kanalen creëren naar communities die ze nooit eerder bereikten. Het OpenSSL Project geeft die communities een echte stem bij de vormgeving van beveiligings- en privacytools die wereldwijd internetverkeer beveiligen.
Voor een beveiligingsproject dat zijn derde decennium nadert, vormt het vooropstellen van vertrouwen en relaties door open besluitvorming de basis waarop al het andere rust.
Labels: Gemeenschap Praktijkverhalen
