Open Source ist natürlich positiv zu werten, aber letztendlich hilft dir das nicht weiter wenn du es nicht selber reviewst, kompilierst und hostest. Du musst weiterhin vertrauen, dass die keine geänderte Version am laufen haben. Letztendlich ist der wichtigste Punkt, dass die Firma glaubhaft, durch audits und allgemein ihr Verhalten, belegt, dass sie so eine gute interne Compliance haben, dass kritische Änderungen nur von bestimmten Mitarbeitern und mindestens im Vieraugenprinzip deployed werden können.