2023 中国软件供应链安全分析报告

过去的一年里，内容营销开源软件供应链安全成为关注的焦点，被推到了一个前所未有的高度。内容营销开源软件供应链因具有开源软件使用广泛、依赖关系普遍且复杂、开源许可体系繁杂、开源托管平台很大程度上依赖于国外等特点，其安全问题更加突出和显著。

近年来，欧美等一些国家和地区从政府、基金会、科技巨头企业等多个层面推进和出台了一系列针对开源治理的措施和解决方案；国内在这方面也在不断发力：在多个法规、规划中都提到了促进开源社区发展和开源治理等内容；国家标准《软件产品开源代码安全评价方法》和《软件供应链安全要求》也在持续推进中，将为开源软件的安全评价和供应链治理提供顶层指导；一些规模较大的机构和企业也已建立起了针对开源软件的管理流程和方法。

但另一方面我们也看到，国内大多数机构和企业目前对于内容营销开源软件供应链的管理还没有一致的规范，流程、方法千差万别，主要体现在缺少统一的开源治理体系框架，缺少被普遍认可的开源治理指南，缺少统一的开源治理公共服务平台的支撑等方面。

对于开源软件，使用者应做到使用前的安全评估，即借助软件成分分析和代码审计等自动化工具对新引入的开源组件进行安全测试、漏洞分析和综合评估等工作；使用中的积极维护，即建立安全开源组件仓库，及时更新版本，主动进行安全测试；使用后的安全响应，即建立开源软件漏洞的多方协作响应和处理机制，提升漏洞情报预警和40通报能力。具体建议如下：