聚焦开源软件安全问题 监管部门行业机构共同围猎风险

当今IT技术高速发展，物联网、大数据、5G、AI等科技都已经深入应用到各个行业领域，而这些主流技术均采用了大量的开源技术以及开源生态产品。包括银行在内的信息技术密集型机构已经在广泛使用开源技术，其携带的安全风险也愈发显著。

来自SYNOPSYS的Open Source Security and Risk Analysis (OSSRA)报告显示，金融服务/金融科技行业中，包含漏洞的开源代码占比已超过60%。65%的开源代码中发现了许可证冲突；26%的开源代码中没有使用许可证，或者使用了定制化的许可证，85%的代码依赖了超过4年未更新的开源代码。

开源软件安全问题已经成为用户最为关注的开源风险之一，稍有不慎，可能成为安全风险的爆点。

随着开源软件在金融行业软件开发中占比不断提高，其面临的威胁风险日趋严重。为了更好地规范开源技术的引入和应用，近期，各监管机构相继发文，明确了金融业开源技术治理要求。

2021年10月20日，人民银行办公厅、中央网信办秘书局、工业和信息化部办公厅、银保监会办公厅、证监会办公厅联合发布《关于规范金融业开源技术应用与发展的意见》，旨在规范金融机构合理应用开源技术，提高应用水平和自主可控能力，促进开源技术健康可持续发展。

11月30日上午，工业和信息化部印发了《“十四五”软件和信息技术服务业发展规划》，在“发展趋势”部分内容指出，开源正重塑软件发展新生态。

开放、平等、协作、共享的开源模式，加速软件迭代升级，促进产用协同创新，推动产业生态完善，成为全球软件技术和产业创新的主导模式。当前，全球97%的软件开发者和99%的企业使用开源软件，基础软件、工业软件、新兴平台软件大多基于开源，开源软件已经成为软件产业创新源泉和“标准件库”。同时，开源开辟了产业竞争新赛道，基于全球开发者众研众用众创的开源生态正加速形成。

CFCA：开源技术安全治理践行者

为了帮助开源技术应用机构更好地满足监管要求与客户需求，促进国内开源技术健康合规发展，国内相关数字安全从业机构一直在研究、推动开源技术治理工作，并形成了开源技术一体化解决方案。

作为国家重要的金融信息安全基础设施之一，中国金融认证中心（CFCA）结合自身的业务特色，以安全为核心，推出了一套整合一体化的开源技术安全治理方案。

该方案分为管理和技术两个方向，具体包括：开源软件管理制度/组织架构建设咨询、开源软件引入标准管理、开源软件治理工程化培训、开源软件合规性检测等服务。方案还包含“CFCA开源软件自动化检测平台”，该平台可以为客户提供代码溯源、许可证分析、漏洞分析等定制化服务。

目前该方案的各项业务适用于数字化和信息化应用的各个领域，包括金融和非金融领域。如：具有自主开发需求的机构；通过技术外包、商业采购等方式引入了开源代码、开源组件、开源软件和基于开源技术的云服务的机构。同时，开源软件治理还是金融信创工作开展的重点，所有涉及金融信创改造的机构也使用该方案。

在此前工作中，CFCA已开展了大量代码审计工作，在审计过程中，一直重点关注开源软件的代码审计和漏洞审查，积累了大量的工作经验。近期，针对行业新需求，CFCA开展了很多新的工作，如为某全国性银行实施了开源软件制度建设咨询、开源软件管理制度落地审查、开源软件合规性检查等。

近年来，CFCA以数字安全为基础，积极开展新型数字安全生态研究与服务模式的创新，针对开源技术治理等新需求持续推进新业务研发与优化，为行业发展提供安全可靠的产品、服务及解决方案，为数字金融健康发展贡献力量。

责任编辑：韩希宇