企业在使用开源软件面临着什么风险？

企业在享受开源引入带来的成本降低、技术迭代速度加快等便 利的同时，也面临着安全漏洞风险、数据泄露风险、知识产权风险 和管理风险。

开源软件的漏洞和缺陷问题威胁系统安全运行。根据新思科技 发布的《2021 开源安全与风险分析报告》显示，84%的开源代码库 至少含有一个漏洞，近三年漏洞比例逐年增高，60%的已审核代码 库中包含高风险漏洞。所有经过审计的营销科技类公司的代码库都 包含开源，其中 95%的营销科技代码库存在开源漏洞。97％的金融 服务/金融科技行业代码库包含开源代码，其中超过 60％的代码库存 在漏洞。 开源软件因其共享特性可能导致数据泄露风险。

开源代码在拥 有互操作性、无歧视性和透明性的同时，也存在着数据安全隐患。开源软件很多配置信息会涉及到账号密码，如果不对代码所携带的 信息进行检查、评估和加密处理，一旦开发者出现疏忽没能及时处 理这些敏感数据，可能会造成大量的用户信息随着代码的共享而泄 露。

开源软件知识产权风险问题相对专业和复杂。由于软件本身在 受到知识产权保护时存在一定权利竞合而带来的专业性和复杂性。 软件源代码可能同时存在多种权利类型：源代码可以作为计算机软 件作品受到著作权保护，源代码实现的功能形成新的技术方案可以 申请专利受到专利权保护，开源前如果源代码符合商业秘密保护要 求可以受到反不正当竞争法保护。这就要求对开源软件知识产权问 题进行多维度的综合分析。根据新思科技《2021 开源安全与风险分 析报告》统计，超过 90％经审计的代码库中含有许可证冲突、自定 义许可证或根本没有许可证的开源组件；2020 年审计的代码库中， 65%包含存在许可证冲突的开源组件，通常涉及“GNU 通用公共许可 证”；26%的代码库采用了没有许可证或定制许可证的开源代码。这 三种问题可能导致侵权和其他法律风险，通常需要进行审慎评估。

企业对开源软件的管理能力有待加强。企业若想更有效率的使 用开源软件，必须配备专业的软件管理与运维团队对开源软件进行 需求响应和日常维护治理。大多数开源软件由于迭代频率快，且往 往不存在专业的第三方技术支持，导致企业内部工作人员需要不断 跟踪软件的版本迭代、规避潜在风险，进而大幅度增加开源软件运 维工作量。所以在引入开源软件前，要进行引入评估工作，选取社区支持能力较强、具备第三方商业支持或企业内部具备运维能力的 开源软件。