【摘要】在如今信息技術(shù)日新月異、飛速發(fā)展的數(shù)字化時(shí)代，開源技術(shù)如同一股強(qiáng)勁的東風(fēng)，為企業(yè)創(chuàng)新注入了源源不斷的活力，然而，正如一枚硬幣有正反兩面，開源技術(shù)的廣泛應(yīng)用亦伴隨著不容忽視的挑戰(zhàn)。安全風(fēng)險(xiǎn)如影隨形，合規(guī)難題接踵而至，這些都成為了企業(yè)使用開源軟件時(shí)不得不面對(duì)的現(xiàn)實(shí)考驗(yàn)。如何有效規(guī)避潛在風(fēng)險(xiǎn)，成為了擺在每一個(gè)企業(yè)面前亟待解決的重大課題。全球 99%的商業(yè)軟件含有開源軟件，75%的商業(yè)軟件直接由源碼...

在如今信息技術(shù)日新月異、飛速發(fā)展的數(shù)字化時(shí)代，開源技術(shù)如同一股強(qiáng)勁的東風(fēng)，為企業(yè)創(chuàng)新注入了源源不斷的活力，然而，正如一枚硬幣有正反兩面，開源技術(shù)的廣泛應(yīng)用亦伴隨著不容忽視的挑戰(zhàn)。安全風(fēng)險(xiǎn)如影隨形，合規(guī)難題接踵而至，這些都成為了企業(yè)使用開源軟件時(shí)不得不面對(duì)的現(xiàn)實(shí)考驗(yàn)。如何有效規(guī)避潛在風(fēng)險(xiǎn)，成為了擺在每一個(gè)企業(yè)面前亟待解決的重大課題。

全球 99%的商業(yè)軟件含有開源軟件，75%的商業(yè)軟件直接由源碼組成，企業(yè)需要有效地管控來自信息、網(wǎng)絡(luò)、法律等方面的風(fēng)險(xiǎn)，實(shí)現(xiàn)開源軟件的安全供應(yīng)和安全使用。實(shí)施開源治理可以幫助企業(yè)建立開源軟件全生命周期管理，應(yīng)用安全可靠的開源管理工具或能力，從而促進(jìn)企業(yè)實(shí)現(xiàn)創(chuàng)新、提高效率、提升自身競(jìng)爭(zhēng)力和市場(chǎng)地位。

1CodeArts Governance，企業(yè)開源安全護(hù)盾

近日，在華為云開發(fā)者日閉門會(huì)活動(dòng)現(xiàn)場(chǎng)，多家企業(yè)客戶共同探討軟件開發(fā)與開源治理的挑戰(zhàn)與實(shí)踐。

華為云 CodeArts 研發(fā)安全域產(chǎn)品專家詹應(yīng)根解讀開源治理方案

華為云 CodeArts 研發(fā)安全域產(chǎn)品專家現(xiàn)場(chǎng)講述華為公司開源治理實(shí)踐歷程，結(jié)合建立開源軟生命周期管理機(jī)制、開源中心倉建設(shè)、全量資產(chǎn)管理、持續(xù)治理與運(yùn)行四個(gè)階段，深入淺出講解實(shí)踐過程，客戶與產(chǎn)品專家交流開源安全話題，討論行業(yè)應(yīng)用方向，現(xiàn)場(chǎng)氣氛熱烈。

華為云開源治理服務(wù)CodeArts Governance凝聚華為在開源治理上的優(yōu)秀實(shí)踐經(jīng)驗(yàn)，為軟件研發(fā)提供開源軟件中心倉、軟件成分分析、軟件信息樹等一站式開源軟件治理能力，結(jié)合華為云已治理開源軟件資產(chǎn)，從合法合規(guī)、網(wǎng)絡(luò)安全、供應(yīng)安全等維度消減開源軟件使用風(fēng)險(xiǎn)，助力企業(yè)更加安全、更加高效的使用開源軟件。

2開源軟件中心倉，保障開源軟件來源可信

CodeArts Governance 開源治理服務(wù)，結(jié)合 CodeArts Artifact、CodeArts Repo 構(gòu)建開源軟件中心倉，集中管理開源軟件、制品、源代碼，全量開源資產(chǎn)可視化，提供資產(chǎn)數(shù)據(jù)本地備份，保障開源軟件和代碼在引入階段安全可信，防范軟件供應(yīng)風(fēng)險(xiǎn)。

3軟件成分分析，保障開源軟件使用安全合規(guī)

CodeArts Governance 開源治理服務(wù)提供軟件成分分析能力，可對(duì)源代碼、制品包進(jìn)行安全掃描，支持 10 種編程語言，50+種文件類型、格式，支持檢測(cè) License 合規(guī)、已知漏洞、敏感信息、安全編譯、安全配置、惡意代碼或軟件 6 大類安全風(fēng)險(xiǎn)，有效快速消減許可證風(fēng)險(xiǎn)、達(dá)成開源軟件使用合規(guī)。

4軟件信息樹，成分透明、漏洞快速感知

CodeArts SBOM 軟件信息樹服務(wù)，基于業(yè)界領(lǐng)先的構(gòu)建工程正向分析軟件依賴成分，生成全面準(zhǔn)確的 SBOM 清單，實(shí)現(xiàn)軟件成分可視化、透明化；同時(shí)持續(xù)監(jiān)控開源漏洞，當(dāng)發(fā)現(xiàn)漏洞時(shí)，快速且準(zhǔn)確追溯到具體的軟件產(chǎn)品、以及引入該漏洞的開源軟件版本，提供修復(fù)建議，幫助企業(yè)及時(shí)修復(fù)影響版本，減少影響與損失。

5開源安全加速企業(yè)創(chuàng)新

通過實(shí)施有效的開源治理，企業(yè)不僅可以提高軟件的安全性和合規(guī)性，還可以促進(jìn)技術(shù)創(chuàng)新，因此，開源治理正在更多行業(yè)和領(lǐng)域中得到企業(yè)的重視。

金融行業(yè)：企業(yè)對(duì)軟件開發(fā)和使用有著更高的安全性與合規(guī)性要求，金融科技創(chuàng)新、完善開源治理體系成為行業(yè)趨勢(shì)。CodeArts Governance 開源治理，幫助企業(yè)建立開源軟件中心倉，集中管理資產(chǎn)，消減許可證風(fēng)險(xiǎn)，提升開源軟件供應(yīng)與應(yīng)用安全，推動(dòng)業(yè)務(wù)創(chuàng)新。

汽車行業(yè)：隨著汽車軟件廣泛使用，企業(yè)更加重視軟件開發(fā)和測(cè)試過程中的安全性。CodeArts Governance 開源治理提供全面軟件成分分析，有效識(shí)別代碼、制品包安全風(fēng)險(xiǎn)，快速追溯漏洞，提供修改建議，保障開源軟件在開發(fā)、測(cè)試、部署等全生命周期安全引入與使用，助力企業(yè)提高產(chǎn)品質(zhì)量，提高競(jìng)爭(zhēng)力。

展望未來，CodeArts Governance 開源治理將持續(xù)深入到更多的行業(yè)中,一站式開源治理解決方案將成為企業(yè)擁抱開源世界的堅(jiān)實(shí)后盾，助力企業(yè)在復(fù)雜多變的開源環(huán)境中建立起完善的治理機(jī)制。

審核編輯 黃宇