银行业开源生态现状如何？

我将从以下几方面来介绍银行业开源生态现状。

1.政策环境

开源战略地位进一步凸显，已上升为国家中长期发展规划。 《中华人民共和国国民经济和社会发展第十四个五年规划和 2035 年远景目标纲要》首次将开源列入国家五年规划，明确提出 “支持数字技术开源社区等创新联合体发展，完善开源知识产权 和法律体系，鼓励企业开放软件源代码、硬件设计和应用服务”； 国务院印发的《“十四五”数字经济发展规划》提出“支持具有 自主核心技术的开源社区、开源平台、开源项目发展，推动创新 资源共建共享，促进创新模式开放化演进”“鼓励开源社区、开 发者平台等新型协作平台发展，培育大中小企业和社会开发者开 放协作的数字产业创新生态，带动创新型企业快速壮大”；工业 和信息化部发布《“十四五”软件和信息技术服务业发展规划》， 系统布局“十四五”开源生态发展，将“繁荣国内开源生态”作 为主要任务之一，从开源基金会、开源文化、开源基础设施、开 源项目、开源人才等多个方面提出了发展要求。随着系列国家政 策的出台，开源已经成为重构软件产业生态的国家战略，社会各 行各业紧跟规划，加快开源工作部署。

金融行业积极布局，陆续出台多项政策，为金融业稳妥推进 开源生态建设与开源治理提供了基本遵循。《意见》为金融行业 安全合规使用开源技术，以及开源生态的健康、可持续发展提出 了指导意见，“鼓励金融机构积极参与开源生态建设，依法合规 分享开源技术应用经验，共享开源技术研究成果。通过主动开源、 贡献代码解决行业共性问题，提升开源技术整体应用水平。鼓励 金融机构之间开展开源项目合作，实现优势互补、互利共赢、共 同发展”。同年，中国人民银行发布了《金融科技发展规划（2022- 2025 年）》，提出金融行业发展的八项重点任务，其中在开源生 态方面，提出“依法合规参与数字技术开源社区等创新联合体”。行业相关政策的出台，将有效推动开源技术在金融行业的安全合 规应用，促进行业开源生态的培育和发展，促进金融机构数字化 转型，对金融业产品服务、经营模式、业务流程将产生深远影响。

2.基础设施

基础设施是行业开源生态培育和开源治理的重要数字底座， 是工作开展的重要抓手和主要阵地。从行业开源软件应用与发展 的维度出发，代码托管平台和漏洞库是基础设施最核心的组成部 分。

代码托管平台

代码托管平台集聚各类开源资源，是开源代码的“存储池”、 开源软件孵化推广的“温床”、程序员的精神“家园”，是开源 生态的重要组成要素。近年来，我国集中涌现出一批开源代码托 管平台，包括以 Gitee、GitCode 为代表的面向公众开放的支持 公开库托管与协作的代码托管平台，以 CODING、云效、CodeHub、 效率云为代表的带有代码托管功能的面向企业提供项目管理服 务的平台或服务，以及金融行业内源性金融开源平台（OFTP）， 整体呈现差异化发展格局。

在支持公开库托管与协作的代码托管平台中，Gitee 由 OSCHINA 推出，用户数达到 800 万。GitCode 由专业开发者社区 CSDN 推出，拥有 CSDN 3500 万的开发者用户基础，具有海量的 开源文档资源库，是国内开源开发者用户量、互动量极高的社区。 GitLink 是中国计算机学会(CCF)官方指定的开源创新服务平台， 已有 5 万开发者、千余家组织入驻，仓库数量累计 140 万；为我 国创新型软件产业发展提供了关键技术支撑和实践指南，支持了 我国航空、航天、国防等多个关键领域的可信软件生产。上述平 台都支持社区内的开发者与国际开源社区联动，定期组织开源技 术沙龙、主题会议、产业报告编制等，普及开源技术，弘扬开源 文化。

在面向企业提供项目管理服务的平台或服务中，CODING、云 效、CodeHub、效率云，依次分别由腾讯云、阿里云、华为云、百 度云提供技术支持与服务，以项目管理为目标，提供代码协作开 发服务。

在行业内源平台中，金融机构逐步凝聚开源发展共识，共建 行业开源平台社区生态，加大培育、支持开源项目孵化与推广运 用的力度。由联盟组织、中国银联承担建设金融开源平台（OFTP）， 赋能金融领域开源项目孵化，为用户提供高质量的软件源码管理 服务。作为以服务金融机构为主的代码托管性质的服务平台，现 阶段已接入金融机构 70 余家，160 余人，主要承接的开源项目 包括金融业生僻字处理项目（RUCC）、金融业开源项目生态监测 平台等。

软件漏洞库

漏洞库因其掌握大量漏洞具体利用细节和过程，并能及时更 新新曝光漏洞，而备受软件开发商、软件用户关注和青睐，可分 为国家漏洞库和行业漏洞库。目前，国内的两类漏洞库尚未实现 对开源软件漏洞的区分和分类，尚未实现对开源项目的全覆盖。

在国家层面，为有效及时的管控信息安全漏洞，切实履行漏 洞分析和风险评估的职能，由中国信息安全评测中心承建运维的 中国国家信息安全漏洞库（CNNVD）于 2009 年投入使用，向国家、 行业和公众提供多种灵活的信息安全数据服务。为我国重要行业 和关键基础设施安全保障工作提供了重要的技术支撑和数据支 持，对提升全行业信息安全分析预警能力，提高我国网络和信息 安全保障工作发挥了重要作用。截止 2021 年底，已积累漏洞数 据近 4 万条，补丁与修复措施 7 万多条，网络受害与安全事件信 息 1000 多万条。

在行业层面，联盟发起金融业开源技术信息服务平台 FOST 风险信息共享计划（以下简称 FOST 风险信息共享计划）。依托 平台风险通报服务模块，通过聚焦开源漏洞及风险，为金融机构共享已知的风险和漏洞信息，实现风险通报一站式服务。FOST 风 险信息共享计划主要面向金融机构、安全厂商、科技公司、科研 院校等机构，在开源技术风险、漏洞信息等方面开展合作，整合 资源，建立风险漏洞和安全事件的发现和共享机制，提高金融业 开源技术风险防范和处置能力。数据来源包括但不限于金融机构、 安全公司等上报的风险信息；从动态感知平台公开、国家漏洞库 网站等获取的风险信息。通报范围为金融业主要使用的开源技术、 产品。