企业拥抱开源的同时，该如何做好风险防范？- 对话新思科技杨国梁

“软件供应链安全”相关文章合集
杨国梁 新思科技软件质量与安全部门高级安全架构师

当前，开源组件已成为软件应用程序中不可或缺的一部分。然而，随着开源软件数量的快速增长，应用领域的不断扩大，随之而来的安全问题也变得愈发严峻。

现如今，使用开源代码进行软件的研发已成为主流。这不仅可以提高开发效率，还将为企业节约大量的时间和人力成本。

开源一词最早出现于1998年，但是开源软件的产生却可以追溯到20世纪80年代的自由软件运动。1984年，自由软件之父美国国家工程院院士Richard Stallman建立起操作系统 GNU，标志着基于“自由软件”思想的操作系统落成，同时也揭开了开源运动的序幕。几年后，Linus的创始人Linus Benedict Torvalds在自由软件运动所提倡的“自由分享”的思想影响下，基于 GNU GPL框架发布了Linux。至此，开源软件开始走向正轨。

近年来，随着云计算、人工智能、大数据等新兴技术的快速发展，越来越多的企业开始在开源的基础上开发和构建软件，从操作系统、浏览器、到企业管理系统、游戏……各种类型的开源软件如雨后春笋般涌现出来。

根据新思科技近日发布的《2020年开源安全和风险分析报告》(OSSRA)显示，2019年，新思科技审计了1253个商业代码库，有99%的代码库都使用到了开源的组件，其中开源在所有代码中的平均占比为70%。可见，开源对于现代的商业代码的渗透率是非常之高。

然而，凡事都有利有弊，开源也不例外。虽然使用开源组件让软件开发效率得到极大提升。但与此同时，随着开源代码使用的越来越多，风险面也在扩大。报告指出，开源组件面临的风险主要包括法务、安全和运维三个方面：