开源治理初次实践

最新推荐文章于 2025-03-10 15:01:49 发布

白帽胡子哥

最新推荐文章于 2025-03-10 15:01:49 发布

阅读量666

点赞数 6

分类专栏： Web安全网络安全文章标签：开源 web安全安全

本文链接：https://blog.csdn.net/wangluo12138/article/details/141473821

版权

网络安全同时被 2 个专栏收录

1218 篇文章

订阅专栏

Web安全

275 篇文章

订阅专栏

前言：
随着时代的发展，开源技术运用的越来越广泛。在Synopsys的《开源安全和风险分析报告》（2023年）报告中，分析了1703个代码库样本，其中96%包含开源代码。据中国信通院《全球开源生态研究报告》（2022年）中统计，得益于开源技术的发展和广泛应用，开源软件为企业带来超过8%的成本节省。但新兴技术总是一把双刃剑，开源技术给各企业带来便利的同时，也带来了巨大的安全漏洞和合规风险。针对开源技术带来的安全漏洞和合规风险进行治理，已然成为了许多企业亟须解决的工作。本文就本人做开源治理的一些落地实践做一些简单分享和总结。

一、什么开源技术
《关于规范金融业开源技术应用与发展的意见》中定义，开源技术是指从代码托管平台、技术社区、开源机构官方网站等渠道获取，或通过合作研发、商业采购等方式引入的开源代码、开源组件、开源软件和基于开源技术的云服务等。

二、软件开发和开源技术
现代软件开发可以参考传统产品生产，传统产品是由原材料制作成中间组件半成品，然后再将中间组件半成品组装成完整的产品，即可做产品交付。而现代软件开发也是类似，开发者完成软件设计后，选型各种开源组件，再使用自己的代码将各个开源组件加工粘合到一起，形成各个软件模块，然后开发者团队再将各个软件模块通过各种协议组装到一起，形成最终的软件系统或平台。这一过程，可以称之为软件供应链。软件供应链带来的问题不仅包括开源组件问题，其中还有数据安全风险、接口漏洞、系统安全等等，但本文仅限于讨论其中的开源组件安全问题和治理实践分享。

三、开源治理框架
正所谓，理论是实践的基础，在实践前，首先得有一个理论框架作为基础。

中国信通院早些时间已经开始了开源治理的探索，在《开源软件治理能力评价方法第3部分：成熟度模型》（还没正式发布）中，提出了开源软件治理能力成熟度模型框架，供以我们后续的工作提供了理论支撑。

开源软件治理能力成熟度模型

四、开源治理实践
最开始做这个事，倒不是什么政策要求，比如《“十四五”软件和信息技术服务业发展规划》中强化安全服务保障中要求的提升开源代码、第三方代码使用的安全风险防控能力，也不是刚刚提到的《关于规范金融业开源技术应用与发展的意见》使用开源技术时，应遵循“安全可控、合规使用、问题导向、开放创新”等原则去做这个事情。

做这个事情只是领导有想法，想从根源去减少应用漏洞的产生，类似SDL的安全左移思想，便有了开源治理（当时我们内部还没叫开源治理）的这个事情。