開源治理有方，讓安全和風(fēng)險可控
器有尺度，物有準(zhǔn)繩，不以規(guī)矩，不成方圓。對于企業(yè)來說，想要玩好開源，也是需要講究開源之法，有據(jù)可依。開源是把雙刃劍，一方面，開源代碼公開透明，容易獲取，能有效降低企業(yè)初期投入成本；另一方面，如果使用不當(dāng)，會把風(fēng)險引入企業(yè)，并且對業(yè)務(wù)造成一定損害。因此企業(yè)必須探索出一條規(guī)范使用和管控好開源技術(shù)的道路，讓開源價值最大化。
近年來，開源治理漸漸走進(jìn)人們的視野，并逐漸成為開源領(lǐng)域的一個熱點話題。比如，2018年信通院推出《開源治理白皮書》，2019年進(jìn)一步推出《金融行業(yè)開源治理白皮書》，去年信通院還推出了開源治理培訓(xùn)計劃等等。
那么，何謂開源治理？為什么要開源治理？怎么做到開源治理？這些都是企業(yè)在擁抱開源之前需要進(jìn)行的靈魂三問。
開源背后蘊(yùn)藏風(fēng)險
被奉為開源運(yùn)動《圣經(jīng)》的《大教堂與集市》一書中，作者把開源比作熱鬧的集市，開放且來去自由，它歡迎任何一行開源代碼在這里流通，也不拒絕任何一家企業(yè)在這里收獲開源成果。
經(jīng)過多年的發(fā)展，開源熱度持續(xù)攀升，越來越多的公司在擁抱開源，并使用開源�！堕_源治理白皮書》指出，開源項目呈指數(shù)級增長，到2026年全球預(yù)計超3億；與此同時，我國企業(yè)內(nèi)部已經(jīng)應(yīng)用開源軟件的比例，已經(jīng)達(dá)到86.7%，正在引入開源軟件的企業(yè)占10.6%，呈現(xiàn)主動開源趨勢。開源軟件更是百花齊放，借著云計算、大數(shù)據(jù)、人工智能等東風(fēng)，各種DevOps平臺、新一代系統(tǒng)都應(yīng)用了開源軟件。
相比較閉源的商用軟件，開源代碼公開帶來的好處顯而易見，而對引入、使用和管理開源軟件的過程中出現(xiàn)的風(fēng)險卻關(guān)注甚少�！督鹑谛袠I(yè)開源治理白皮書》指出，引入開源的用戶往往成為開源軟件使用的風(fēng)險落腳點。在開源生態(tài)中，金融機(jī)構(gòu)往往以最終用戶的角色出現(xiàn)，難免存在潛在的風(fēng)險問題�？偟膩砜�，這些風(fēng)險主要有運(yùn)維和技術(shù)風(fēng)險、管理風(fēng)險、安全和數(shù)據(jù)風(fēng)險、合規(guī)和知識產(chǎn)權(quán)風(fēng)險四個方面。
首先，運(yùn)維和技術(shù)風(fēng)險。開源軟件的開發(fā)和運(yùn)維往往需要金融機(jī)構(gòu)自己來負(fù)責(zé)，開發(fā)難度更大，人才的數(shù)量和質(zhì)量跟不上，消耗企業(yè)更多資源。
其次，管理風(fēng)險。商業(yè)軟件大部分不會主動說明產(chǎn)品中是否有開源代碼，用戶很可能被動引入開源代碼；金融用戶如果沒有對源代碼掃描，通常也并不清楚企業(yè)開發(fā)者是否使用了開源代碼片段以及引入了多少開源代碼；大量級的開源軟件和代碼規(guī)模給代碼合規(guī)性檢查帶來了不小的挑戰(zhàn)�；谏厦嫒c，金融企業(yè)想要統(tǒng)計完全準(zhǔn)確的開源軟件數(shù)目和使用情況存在一定困難。
此外，安全和數(shù)據(jù)風(fēng)險。由于開源軟件是由多人協(xié)作完成，且開源許可證具有復(fù)雜性的特點，很容易造成開源軟件存在惡意代碼、病毒或造成隱私泄露等問題。開源軟件的安全缺陷密度較高，金融企業(yè)對安全漏洞應(yīng)予以重視。
最后，合規(guī)和知識產(chǎn)權(quán)風(fēng)險。每一個開源軟件，都需要遵守開源許可證上規(guī)定的要求，但很多情況下，金融企業(yè)無法明確得知該軟件是否遵守；開源軟件上游供應(yīng)鏈涉及眾多開源基金會、開源產(chǎn)品、服務(wù)企業(yè)等等，存在很大不確定性，影響開源許可證的使用方式，企業(yè)很可能因為許可證變化而影響后續(xù)開源軟件的使用；開源背后的知識產(chǎn)權(quán)問題相對專業(yè)，如果不準(zhǔn)確掌握知識，很可能會埋下很大的風(fēng)險隱患。
實際上，出于安全要求，我國一些傳統(tǒng)行業(yè)用戶也已經(jīng)開始探索開源的治理，尤其在金融行業(yè)，由于對開源技術(shù)的應(yīng)用比較廣泛，在治理方面覺醒得也比較早。比如，浦發(fā)銀行就在去年成立了創(chuàng)新實驗室，進(jìn)行開源方面的研究和使用規(guī)范工作。同樣，中國農(nóng)業(yè)銀行、中信銀行、中國太平洋保險等企業(yè)也有類似舉措。
治理開源宜早不宜晚
開源有需求，有挑戰(zhàn)，也有解決之道。面對這一系列痛點，國家、金融企業(yè)和第三方機(jī)構(gòu)應(yīng)共同采取措施，催生開源治理新范式，使開源產(chǎn)業(yè)健康有序發(fā)展。
不久前正式發(fā)布的“十四五”規(guī)劃綱要明確指出，支持?jǐn)?shù)字技術(shù)開源社區(qū)等創(chuàng)新聯(lián)合體發(fā)展，完善開源知識產(chǎn)權(quán)和法律體系，鼓勵企業(yè)開放軟件源代碼、硬件設(shè)計和應(yīng)用服務(wù)。這從整體上提高了國家或行業(yè)層面對開源的重視程度；產(chǎn)業(yè)界可以通過白皮書或書籍灌輸開源理念，解讀開源許可證要求，組織相關(guān)演講與培訓(xùn)；金融機(jī)構(gòu)可以通過調(diào)查問卷等形式了解行業(yè)情況，摸清現(xiàn)狀，形成調(diào)研報告以供參考。
光靠單方的力量，很難推動自身開源技術(shù)的應(yīng)用和治理快速成長，這時可以聯(lián)合多家金融機(jī)構(gòu)，形成行業(yè)運(yùn)作、交流、共治平臺，例如，在2018年10月12日，浦發(fā)銀行和中國信通院共同發(fā)起金融行業(yè)開源技術(shù)應(yīng)用社區(qū)，目前超過30家成員單位，每隔1-2個月社區(qū)就會發(fā)起研討會，整合優(yōu)勢資源和技術(shù)成果共享開源經(jīng)驗，共同推動金融行業(yè)開源生態(tài)健康發(fā)展。
前文提到，企業(yè)想要玩好開源，也是需要講究開源之法，梳理開源治理規(guī)范，推動相關(guān)標(biāo)準(zhǔn)制定迫在眉睫。第三方機(jī)構(gòu)可以通過標(biāo)準(zhǔn)化的手段來樹立規(guī)范，例如，信通院聯(lián)合30多家金融企業(yè)和科技公司，制定《開源治理能力評價方法》，從“申請-審批-使用”全流程幫助企業(yè)建立自上而下的開源治理體系。
同時，一些開源領(lǐng)先的企業(yè)（如紅帽）也推出了開源治理的方法論以及開源治理的相關(guān)資訊服務(wù)，把它們在開源軟件的管理經(jīng)驗傳授給市場，對開源市場的繁榮起到了很好的促進(jìn)作用。
對于企業(yè)來說，需要構(gòu)建一套適合自身情況的開源治理體系，涉及組織架構(gòu)、管理制度、軟件選型、使用規(guī)范、風(fēng)險管理、二次開發(fā)、持續(xù)跟蹤、社區(qū)反饋、退出機(jī)制九個方面。除此以外，企業(yè)還可以建立內(nèi)部開源治理支撐平臺，完成對開源軟件的引入評估、使用評估、安全漏洞評估等，實現(xiàn)開源軟件全生命周期的跟蹤和記錄。
小結(jié)
正如春耕種，夏生成，秋收割，冬儲藏，開源的正確引入和規(guī)范管理，也要遵守一系列規(guī)則，開源治理不僅能夠做到風(fēng)險可防可控，保障金融機(jī)構(gòu)充分滿足合規(guī)要求，更能以開源新技術(shù)的應(yīng)用促進(jìn)金融機(jī)構(gòu)向數(shù)字化、智能化方向轉(zhuǎn)型。
