道阻且長，開源治理的「四步法則」
上世紀(jì)六七十年代，美國麻省理工學(xué)院的學(xué)生經(jīng)常寫一些自由軟件，自由分發(fā)。沒人會想到軟件的權(quán)利，更談不上商業(yè)行為。80年代中期，理查德·斯多曼啟動了GNU工程， 并創(chuàng)辦了自由軟件基金會，從而拉開了開源運(yùn)動的帷幕。1991年，Linux軟件推出，更是得到了自由軟件愛好者的喜愛，成為開源軟件之星。
這意味著，它使軟件源代碼可以免費(fèi)獲得、自由修改，更重要的是，自由共享、計(jì)算機(jī)軟件知識產(chǎn)權(quán)、計(jì)算機(jī)軟件開發(fā)模式、世界軟件業(yè)競爭格局都由此發(fā)生了翻天覆地的變化。
企業(yè)也因此借開源走出了一條自主創(chuàng)新的陽光路，特別是操作系統(tǒng)、開發(fā)工具、支撐軟件等軟件的開源，加快了企業(yè)產(chǎn)品的開發(fā)速度和創(chuàng)新能力。不過，有了好風(fēng)是遠(yuǎn)遠(yuǎn)不夠的，關(guān)鍵是如何借力。
誰歡迎開源？誰從開源中受益？哪些產(chǎn)品適合開源？哪些產(chǎn)品并不合適？如何著手開源治理？這些問題都需要企業(yè)三思而后行。信通院可信開源治理專家、紅帽云計(jì)算及自動化解決方案架構(gòu)師嚴(yán)興華認(rèn)為，開源是把雙刃劍，要想用好，必先治理。他認(rèn)為進(jìn)行開源治理和建設(shè)的關(guān)鍵步驟有四——建設(shè)團(tuán)隊(duì)、規(guī)劃工作目標(biāo)、技術(shù)探索、文化導(dǎo)入。“道阻且長，而非一蹴而就，開源治理是一個(gè)系統(tǒng)化工程，絕非某一項(xiàng)技術(shù)或者一個(gè)簡單流程就可以快速有效完成。”他說。
談趨勢：開源治理認(rèn)可度上升 但還處于初步階段
記者：何謂開源治理？
嚴(yán)興華：開源是一個(gè)大趨勢，大部分企業(yè)都在不斷使用，而且使用的范圍越來越大，但是企業(yè)在使用過程中，一些未受管控的開源技術(shù)存在潛在風(fēng)險(xiǎn)，包括安全漏洞風(fēng)險(xiǎn)、版權(quán)使用侵權(quán)風(fēng)險(xiǎn)、授權(quán)風(fēng)險(xiǎn)、操作風(fēng)險(xiǎn)、監(jiān)管合規(guī)風(fēng)險(xiǎn)等等，如何更好規(guī)范和管控是企業(yè)開源治理的一個(gè)核心問題。
開源治理就是為企業(yè)保駕護(hù)航，幫助企業(yè)規(guī)避風(fēng)險(xiǎn)，制定一套比較好的方法論或框架，幫助企業(yè)引入適合使用的開源技術(shù)，企業(yè)在使用過程中也能逐步優(yōu)化、推動創(chuàng)新，在未來回饋給社區(qū)，整個(gè)一系列過程被稱為開源治理。
記者：您覺得企業(yè)用戶什么時(shí)候需要開始考慮開源治理問題？
嚴(yán)興華：就像剛才所說，開源越來越普及，使用越來越廣泛，在國內(nèi)超過85%以上已經(jīng)使用了開源組件或者開源技術(shù)。
但很多企業(yè)只有在開源規(guī)模擴(kuò)大后才開始做治理，甚至我們遇到一些客戶已經(jīng)受到了開源帶來的一些問題或者風(fēng)險(xiǎn)，真的是痛定思痛才想到要治理。其實(shí)從企業(yè)選擇的第一個(gè)開源產(chǎn)品開始，就要在開發(fā)過程中、在測試階段、或者已經(jīng)引入到生產(chǎn)環(huán)節(jié)時(shí)考慮開源的治理了。
開源治理的維度、范圍可能隨著企業(yè)使用的深度和廣度而改變，所以我們建議從企業(yè)從選擇開源的第一刻就要考慮治理問題，如果已經(jīng)大量開始使用開源技術(shù)，那么無論是哪個(gè)時(shí)間節(jié)點(diǎn)都應(yīng)該考慮如何治理現(xiàn)有的開源技術(shù)。
記者：從您的觀察來看，中國企業(yè)用戶對于開源治理的采納度如何？
嚴(yán)興華：紅帽在過往兩年針對全球世界500強(qiáng)的CIO做了一些調(diào)研，發(fā)現(xiàn)大家對開源治理的認(rèn)可度逐年在上升，而且上升比例非常高，但是真正做到開源治理的客戶還是占少數(shù)，按照去年2020年的調(diào)研評估，在國內(nèi)做到開源治理的客戶不超過30%，而且這30%里面他們只是剛開始，只是做了初步地管控而非全生命周期，也不是跨版本，安全上可能也沒有考慮得非常周全。
所以，我認(rèn)為國內(nèi)開源治理現(xiàn)在還是屬于非常初級的階段，但是一個(gè)好事情是，在調(diào)研過程中大家非常認(rèn)可開源技術(shù)是需要治理的，只是說大家還不太清楚這一步應(yīng)該怎么往前走。
談實(shí)踐：開源治理“四步法則”，團(tuán)隊(duì)、目標(biāo)、技術(shù)、文化
記者：應(yīng)該如何著手進(jìn)行開源治理？
嚴(yán)興華：從紅帽角度來看，開源治理是一個(gè)系統(tǒng)化工程，而非一蹴而就的，不單是通過某一項(xiàng)技術(shù)或者一個(gè)簡單流程就可以快速有效完成。
開源治理首先要遵循開展之道。紅帽建議從四個(gè)維度思考應(yīng)該如何進(jìn)行開源治理和建設(shè)。
首先，建設(shè)團(tuán)隊(duì)。企業(yè)要有建設(shè)相應(yīng)的開源治理的管理團(tuán)隊(duì)，我們稱之為開源治理小組或者是開源治理團(tuán)隊(duì)。
第二，規(guī)劃工作目標(biāo)。企業(yè)要從全生命周期關(guān)注開源治理，關(guān)注一個(gè)開源的技術(shù)或組件的進(jìn)入到使用，到不斷更新，到退出，企業(yè)應(yīng)該關(guān)注開源全生命周期各方面的事情。
第三，技術(shù)探索。企業(yè)要對開源技術(shù)能力進(jìn)行探索和了解分析。了解開源技術(shù)的生命力是怎樣的、開源技術(shù)應(yīng)該如何輔助企業(yè)、開源技術(shù)如何與原有技術(shù)結(jié)合，開源治理離不開這樣的技術(shù)分析和探討。
最后，開源文化的導(dǎo)入。我們還是希望企業(yè)導(dǎo)入開源文化，開源取之于開源組織，回報(bào)于開源組織，企業(yè)通過交流、互動的方式建設(shè)開源文化，這樣也會更好進(jìn)行開源治理。
記者：開源治理小組應(yīng)該由什么部門構(gòu)成？
嚴(yán)興華：據(jù)我們所知，在國內(nèi)各行各業(yè)的牽頭部門可能都會不一樣，有些是架構(gòu)辦，有些是開發(fā)部門，有些是運(yùn)維部門牽頭。開源治理小組應(yīng)該具備什么樣的角色和能力？其實(shí)，在不同的企業(yè)大家自行匹配會更好，我們認(rèn)為下面的三大塊職能是必要的。
一是“站得高看得遠(yuǎn)”的戰(zhàn)略規(guī)劃角色，站在企業(yè)大的角度來看整個(gè)IT和技術(shù)發(fā)展方向應(yīng)該是怎樣的，給出一定的指導(dǎo)意見，包括開源使用方向、業(yè)務(wù)方向等。
二是執(zhí)行角色，基于長遠(yuǎn)的規(guī)劃和戰(zhàn)略制定戰(zhàn)術(shù)，推動開源轉(zhuǎn)型。組織企業(yè)不同團(tuán)隊(duì)和業(yè)務(wù)部門，在各個(gè)團(tuán)隊(duì)之間做一些驗(yàn)證測試，看看應(yīng)該以什么樣的方式管理和治理開源的引入、使用以及未來的退出。
三是技術(shù)角色，進(jìn)行具體開源技術(shù)的使用、管理、評估、管控、治理，企業(yè)既可以自己培養(yǎng)自己技術(shù)人才，也可以通過市場上的商業(yè)化服務(wù)來選擇技術(shù)團(tuán)隊(duì)。
記者：開源治理方面，紅帽能提供哪些幫助？
嚴(yán)興華：首先，紅帽把過往積累的經(jīng)驗(yàn)總結(jié)成方法論和服務(wù)框架進(jìn)行二次包裝和創(chuàng)新，推送到市場和企業(yè)分享。
同時(shí)，紅帽以咨詢方式幫助企業(yè)執(zhí)行和推動開源治理。紅帽有專門的服務(wù)團(tuán)隊(duì)提供開源治理的咨詢和服務(wù)，指導(dǎo)企業(yè)結(jié)合紅帽的經(jīng)驗(yàn)，幫助企業(yè)設(shè)定開源治理流程，并針對每一家企業(yè)給出最合適的開源治理建議。
最后，紅帽也會在一些特定領(lǐng)域、特定產(chǎn)品上提供技術(shù)服務(wù)，在底層技術(shù)特定領(lǐng)域幫助企業(yè)做技術(shù)兜底。
記者：在進(jìn)行開源治理過程中有哪些關(guān)鍵環(huán)節(jié)，或者有哪些需要特別注意問題？
嚴(yán)興華：我跟大家分享一下已經(jīng)有意識做開源治理的企業(yè)遇到的一些普遍的挑戰(zhàn)。
最開始，企業(yè)都會聚焦到他們使用的某個(gè)具體技術(shù)，反而忽略了圍繞這個(gè)技術(shù)的組織人員應(yīng)該如何配合，如何制定流程，如何做治理，大家總是重技術(shù)輕流程，這是第一個(gè)可能風(fēng)險(xiǎn)。
第二，如何選擇開源產(chǎn)品？選擇開源產(chǎn)品以后，如何判斷該產(chǎn)品和所有開源產(chǎn)品之間有沒有許可的沖突？這個(gè)問題存在比較普遍。我們建議企業(yè)用相對比較客觀的數(shù)據(jù)進(jìn)行分析。紅帽有這樣一個(gè)評估模型，可以理性分析評估產(chǎn)品的生命力、商務(wù)支持能力、發(fā)展能力、技術(shù)特性，給出參考評分。
這兩個(gè)方面是國內(nèi)用戶遇到比較多的挑戰(zhàn)。
記者：請您簡單介紹一些實(shí)踐案例。
嚴(yán)興華：過去兩年，紅帽在國內(nèi)主要幫助了一些金融企業(yè)進(jìn)行開源治理。
在銀保監(jiān)會管控之下，金融行業(yè)的監(jiān)管要求比較高，對安全要求也比較高。在幫助一些銀行業(yè)、保險(xiǎn)業(yè)開源治理之后，我覺得對于他們來說最大收益，一來是構(gòu)建了自己的標(biāo)準(zhǔn)，可以比較有信心管控開源帶來的風(fēng)險(xiǎn)；二來是他們的覆蓋面更廣，原來幾個(gè)不同部門之間不太清楚彼此之間用的是什么，現(xiàn)在他們的可以全盤管理開源軟件。三是當(dāng)企業(yè)有信心治理和管理自己的組件，并且在技術(shù)上也有一些投入的時(shí)候，他們就開始自主創(chuàng)新，參加一些比賽，在社區(qū)上也很活躍，甚至說可以在同行內(nèi)引領(lǐng)了創(chuàng)新，引領(lǐng)了這個(gè)行業(yè)。
