говорит об использовании компенсирующих мер (пункт 6.4). Можно ли отказаться от каких-либо защитных мер, заменив их компенсирующими?
Замена на компенсирующие меры осуществляется при невозможности технической реализации отдельных выбранных мер защиты информации, содержащихся в ГОСТ 57580.1-2017. Применение компенсирующих мер должно быть обосновано.  Компенсирующие меры обязаны исключать реализацию угроз с той же эффективностью, что и при выполнении «компенсируемого» базового состава мер.
Решения Open Source не обязательно являются компенсирующими, они могут выполнять функционал базовых мер по защите информации. Однако, у них, вероятнее всего, не будет выполняться требование о соответствии классу защиты (меры РЗИ.11-13), что немного снизит итоговую оценку.