如何在软件开发生命周期中管理引入的开源软件_朱贤曼

AI智能总结

使用开源软件虽具成本优势，但存在合规、安全等多重风险。为有效管理这些风险，需在软件开发生命周期各阶段实施系统性治理。

风险识别与来源
开源软件主要风险包括：许可证合规风险（如GPL条款）、专利侵权、商标侵权、出口管制合规、运维风险、供应链安全风险及安全隐患等。风险主要源于软件来源不可靠、使用不规范及生命周期管理缺失。

基于SDL的生命周期管理框架
采用“需求-开发-验证-发布-维护”五阶段治理模型，结合IT基础设施（如版本控制、DevOps工具链等）支撑，实现全流程管控：

需求与设计阶段
- 选型评估：建立准入机制，从源头上审查开源组件的许可证条款、专利风险、功能性能及生命周期指标（如成立时间、版本更新频率等）。
- 风险评估与使用申请：通过开源合规库（含许可证库、漏洞库）评估新项目/需求风险，创建风险项并纳入需求管理；使用申请需遵循“先申请后使用”原则，记录基本信息与使用场景。
开发阶段
- 开源扫描与义务履行：使用SCA工具扫描代码，生成SBOM，嵌入CI/CD流程；严格遵循“整包使用不修改”原则，保留原始版权并履行合规义务（如Notice集成）。
- 问题整改：对高风险漏洞制定整改计划，修复漏洞并准备开源分发说明。
验证阶段
- 测试与验收：执行Notice集成测试、开源分发准备测试，验证使用申请与SBOM一致性，确保高风险问题已解决。
发布阶段
- 开源发布准备：主动开源需回馈社区（如提交PR），被动开源需审查代码（排除第三方专有代码）；通过FSR审核后，制定应急响应计划，确保出口管制合规。
维护阶段
- 漏洞跟踪与修复：建立漏洞库，通过SCA工具持续跟踪，执行补丁修复或社区升级。
- 生命周期管理：定期维护黑名单，升级至最新稳定版本，完善IT系统支撑（如溯源自动化管理）并制定退出机制。