2023年9月21日，中國信息通信研究院（簡稱“中國信通院”）在2023 OSCAR開源產(chǎn)業(yè)大會上隆重發(fā)布了《可信開源治理能力成熟度評估》最新評估結果，國金證券股份有限公司（以下簡稱“國金證券”）順利通過中國信通院開展的可信開源治理能力成熟度評估認證，成為證券行業(yè)最先參與評估并榮獲“先進級”認證的單位。

國金證券首席信息官王洪濤先生：“國金證券首次參加中國信通院開源治理評估就獲得了“先進級”榮譽，這是對國金證券開源治理工作和能力的充分肯定，我們將持續(xù)推動企業(yè)內部開源治理工作建設，進一步助推金融證券行業(yè)開源認知，共享開源使用經(jīng)驗，樹立行業(yè)可信開源的標桿形象，通過開源影響力帶動金融科技生態(tài)建設。”

國金證券科技研發(fā)部總經(jīng)理熊友根先生：

“懸鏡安全是國金證券的戰(zhàn)略合作伙伴，在引入懸鏡源鑒SCA開源威脅管控平臺的基礎上，我們構建了國金特色的開源軟件治理管理體系，在業(yè)內達到了先進水平，這是對雙方合作成果的充分肯定。我們將與懸鏡安全保持密切合作，持續(xù)深化企業(yè)級開源治理體系、流程、規(guī)范和平臺建設，探索開源治理工具的信創(chuàng)方案，全面提升自主可控和開源安全風險治理能力，積極響應監(jiān)管機構的安全合規(guī)要求。”

可信開源治理能力成熟度評估是中國信通院發(fā)布的權威認證之一，也是行業(yè)內首個開源風險管理能力成熟度模型。本次評估從過程維度和能力維度出發(fā)，重點考察組織機制、管理制度、風險管理以及引入選型、使用管理、運維管理、定期健康評估、退出管理、存量盤點、第三方管理等內容，根據(jù)企業(yè)開源軟件治理能力的高低將成熟度劃分為3個級別，分別是基礎級（1級）、增強級（2級）和先進級（3級）。國金證券是證券行業(yè)最先通過可信開源治理能力成熟度評估并被評為“先進級”的機構，相關能力達到了國內領先水平。

此次，信通院采訪了國金證券首席信息官王洪濤先生和科技研發(fā)部總經(jīng)理熊友根先生，分享國金證券在開源治理方面的實踐經(jīng)驗。

信通院：請介紹一下您的企業(yè)，以及公司內部進行開源治理工作的背景。

王洪濤：國金證券前身為成都證券，經(jīng)中國人民銀行批準，成立于1990年12月，注冊地在四川省成都市，是一家資產(chǎn)質量優(yōu)良、專業(yè)團隊精干、創(chuàng)新能力突出的上市證券公司。截至2023年半年度末，公司員工人數(shù)超5000人，共下設8家分公司，75家證券營業(yè)部，分布在全國24個省（直轄市、自治區(qū)）的重要中心城市。國金證券秉承“讓金融服務更高效、更可靠”的使命，追求“成為舉足輕重的金融服務機構”的企業(yè)愿景，遵循【客戶至上】、【視人才為公司最重要的資本】、【以開放的心態(tài)真誠溝通】、【團隊合作】、【專業(yè)規(guī)范】、【持續(xù)優(yōu)化】、【追求卓越】的核心價值觀，致力于為客戶提供證券交易、投資銀行、資產(chǎn)管理、財富管理等全方位金融服務，將公司建設成為“治理健全、管理規(guī)范、業(yè)務精湛、資質齊備、技術領先”的國內證券行業(yè)具有一流競爭力和影響力的上市券商。公司自成立以來，嚴格遵守各項法律法規(guī)，始終堅持合規(guī)穩(wěn)健經(jīng)營，不斷完善公司法人治理結構，建立健全內控管理體系。

近幾年，隨著移動互聯(lián)網(wǎng)、云計算、人工智能、大數(shù)據(jù)的快速發(fā)展，開源逐漸成為主流技術。開源雖然可以突破技術壁壘、推動創(chuàng)新，但是卻不可避免得帶來開源管理、開源合規(guī)等一系列問題。2021年，人民銀行辦公廳、銀保監(jiān)會辦公廳、證監(jiān)會辦公廳等聯(lián)合發(fā)布《關于規(guī)范金融業(yè)開源技術應用與發(fā)展的意見》。為積極響應監(jiān)管機構對開源方面的要求，滿足意見針對開源技術“安全可控、合規(guī)使用”的基本原則，實現(xiàn)軟件安全風險治理流程統(tǒng)一化和自動化，國金證券從被動防御到主動應對，全面啟動了開源治理建設工作。

信通院：請問貴單位為什么參與此次評估？

王洪濤：中國信通院在業(yè)內率先提出了“可信開源”理念，目前已形成了覆蓋開源全生命周期的標準及評估體系。我們希望通過參與此次企業(yè)開源治理成熟度評估，對比學習同行業(yè)及其他行業(yè)的開源治理優(yōu)秀實踐，以評促改、以評促建，進一步提升國金證券開源風險管控能力。

信通院：貴單位的開源治理建設方案可以分享一下嗎?

熊友根：國金證券以制度規(guī)范為指引、技術平臺為抓手，構建國金開源軟件安全治理和管理體系。在制度規(guī)范方面：制定和落實《國金證券開源軟件管理規(guī)范》，明確開源軟件管理部門與使用部門的職責，規(guī)定開源軟件規(guī)劃、準入、使用、維護、日常管理、退出等全流程周期的管理過程，根據(jù)軟件應用場景進行分類管理，規(guī)范企業(yè)開源技術組件的選取范圍，防范技術組件風險，包括整個技術組件的技術雷達、組件準入機制管控、使用過程登記和問題追溯整改等各階段管理要求。

在技術平臺方面：引入懸鏡源鑒SCA開源威脅管控平臺，梳理存量軟件引入的第三方開源組件，將開源組件及其直接和間接依賴關系、漏洞信息、開源許可證、所屬部門組織、對應的SBOM清單，形成清晰的軟件資產(chǎn)臺賬，幫助國金證券對軟件資產(chǎn)進行安全管理；通過對接LDAP單點登錄/SSO統(tǒng)一身份認證登錄進行用戶登錄的統(tǒng)一管理；對接DevOps平臺，在流水線構建階段進行開源組件安全檢測，檢測結果推送SCA工具進行統(tǒng)一管理；對接并集成制品庫，進行安全掃描和風險分析，配置門禁實現(xiàn)風險自動阻斷，同時對制品倉庫進行組件出入庫安全審查；最后，將檢測漏洞和許可證數(shù)據(jù)推送至漏洞管理平臺，關聯(lián)相關項目負責人并推動修復，實現(xiàn)閉環(huán)治理。

信通院：通過開源治理實踐，內部取得了哪些收益？

熊友根：國金證券在工具建設、流程管理、監(jiān)管合規(guī)等層面皆取得了顯著效益：

工具層面：補全了國金證券開源技術安全防護能力，提升了針對開源軟件SBOM、三方開源組件漏洞風險及許可風險的自動化審查能力，減少開源軟件高危漏洞及許可證帶來的知識產(chǎn)權風險。

流程層面：通過引入懸鏡源鑒SCA開源威脅管控平臺，在編碼階段對接IDE插件，開發(fā)階段對接DevOps流水線，構建階段拉取代碼檢測并通過設置的門禁進行阻斷，對制品庫進行安全掃描，最后將檢測結果推送至漏洞管理平臺進行閉環(huán)治理，實現(xiàn)一站式自動化開源組件漏洞風險管理。

合規(guī)層面：通過源鑒SCA對采購產(chǎn)品的安裝包或源代碼進行軟件成分安全檢測，結合公司內部的采購規(guī)范及要求，確保采購軟件內部成分組件的引入安全及合規(guī)性。

監(jiān)管層面：滿足了銀保監(jiān)會和證監(jiān)會等行業(yè)監(jiān)管機構針對開源治理安全防護的建設要求，在響應國家政策號召的同時，實現(xiàn)了企業(yè)開源治理能力水平的突破。

信通院：在建設過程中有遇到過哪些困難嗎，相應的解決辦法是什么呢？

熊友根：我們面臨的挑戰(zhàn)主要來自于員工安全意識薄弱和開源軟件管理規(guī)范落地的難題。為此，我們通過定期開展開源治理培訓，通過企業(yè)微信、電子郵件等方式進行制度宣導，通過平臺固化制度這些方法，確保各部門能夠準確理解并遵循管理規(guī)范，從而在實際工作中將其貫徹到位。

信通院：在開源治理方面的未來規(guī)劃有哪些？

熊友根：開源軟件治理是一項長期常態(tài)化工作，需要在深入治理的同時保持組織架構、制度體系、技術平臺等方面的持續(xù)優(yōu)化。未來我們將從三方面深耕開源治理工作：一是持續(xù)完善內部開源軟件管理體系，提升開源軟件的安全性和可靠性，提高公司整體的技術水平和服務質量。二是探索信創(chuàng)開源軟件供應鏈安全治理與運營方案，提升自主可控水平。三是共建行業(yè)開源治理能力，共享開源治理經(jīng)驗，參與開源治理相關標準和公共服務平臺建設，推動行業(yè)軟件供應鏈安全發(fā)展。

關鍵詞：