软件吞噬世界，而开源正在吞噬软件。越来越多企业开始关注如何解决混源开发模式下的软件供应链平安问题。软件供应链安全事件频发，已成为企业发展经营流动面临的重大隐患，也是所有平安厂商致力于要解决的问题。
7 月 22 日下午，中国信息通信研究院与 OpenSSF 中国开源平安工作组携手华为、中兴、安势信息等合作伙伴，围绕“开源平安治理的模型和工具”主题召开线上研讨会。研讨会邀请了 OpenSSF 中国开源平安工作组的专家、行业大咖共六位重磅嘉宾为大家带来精彩的主题演讲！
首先带来精彩分享的是 OpenSSF 亚太技术布道师 Donald Liu，Donald 在名为“SLSA、SBOM 与平安治理”的主题演讲中对 SLSA 的整体框架和 SLSA 1 到 4 级不同要求的技术规范进行了具体介绍；在软件包公布、第三方软件洽购和在承受软件包的代码仓库的利用场景下，企业可基于 SLSA 对软件、供应链和它们的组成部分进行评级，帮忙评估软件品质。对于 SBOM 和 SLSA 的联合，Donald 示意：SBOM 和 SLSA 能够搭配应用，遵循相干的 SLSA 准则能够更容易地生成更精准可信的 SBOM，帮忙构建平安的软件供应链。对 SLSA 感兴趣的小伙伴能够退出 OpenSSF 的 Supply Chain Integrity 工作小组，共建平安开源生态。
现如今，混源开发模式已成为常态，开源软件的应用比例越来越高。但开源对平安是把双刃剑。
华为开源管理中心专家穆文锋带来了名为“开源要害我的项目辨认和依赖关系危险评估”的精彩演讲。首先他指出开源软件存在的典型问题：太多的依赖，太少的维护者。特地是一些风行的驰名开源组件被宽泛应用时，一旦呈现安全漏洞造成的结果往往十分重大。那么该如何改良开源我的项目的平安情况？穆文锋别离从开源软件要害我的项目辨认、开源软件要害我的项目看护和开源软件我的项目平安剖析三个方面介绍了业界在开源软件平安方面获得的优秀成果，并对 Census Program II、Critically Score、Alpha-Omega、Scorecord 我的项目进行了具体的解说。最初他分享了 CII（Core Infrastructure Initiative）要害基础设施倡导，其中最佳实际徽章（The Best Practices Badge）是平安开源开发的榜样。
随着软件供应链攻打浪潮愈演愈烈，寰球开源基金会和开源组织奉献了很多优良的开源平安治理模型和框架来帮忙企业实现更平安的软件开发和部署流程。SLSA 作为创立“安全软件供应链”的框架，将供应链爱护晋升到了新的程度。那么如何将这些优良的框架落地到企业的实际中？
上海安势信息技术有限公司资深解决方案架构师朱贤曼带来了名为“SLSA 和 SBOM 如何撑持企业应答供应链平安危险”的主题演讲，进一步分享了 SLSA 和 SBOM 在企业的落地实际和摸索。随着开源组件应用的比例越来越高，企业很难通过保护 Excel 表格的模式去做对立的治理，不仅会节约大量的人力，这种形式的准确性、有效性也值得商讨。目前在企业实际中，开发人员通过 SCA 工具生成 SBOM 清单来高效治理应用的开源组件。特地是针对产品线泛滥或笼罩寰球销售市场的企业，SBOM 可施展微小的作用，助力企业追溯安全漏洞。
开源软件存在的平安危险除了来自于开源软件本身，还有供应链攻打。那么该如何应答软件供应链中的平安挑战？朱贤曼介绍道，SLSA 1 到 4 级能够在源代码、构建和起源 / 出处方面对代码进行技术规范要求，从而确保软件供应链的源代码完整性、构建完整性和可用性。遵循 SLSA 框架生成的 SBOM 内容会更精确、信息更丰盛也更可信；便于用自动化水平更高的形式去集成 SBOM，并可扩大到其余的利用场景。
现在企业开发人员大量应用开源组件，而这些开源组件又别离来自不同的供应商即软件供应链，疾速找到并修复其中的破绽也变得越发艰巨。
中国信通院知识产权与翻新倒退核心产业倒退研究部张俊霞为大家带来了名为“SPDX 规范根本状况”的主题演讲。她指出企业对 SBOM 的需要转折期曾经到来，将来大家对软件产业倒退的透明性及其可能传递供应链级别的信息会有更多的需要。随后，张俊霞着重介绍了 SBOM 的最小元素和 SPDX 规范：SBOM 的最小元素反对根底 SBOM 性能的重要信息且将成为实现更高软件透明度的根底；SBOM 的最小元素将数据字段、自动化反对和实际和流程纳入了其狭义的定义。SPDX 提供了一种格局，用于列出实用于软件包的特定许可证变体和版本。这种格局提供了更强的零碎可读性，使得 SBOM 的能力扩大至软件生态系统。
在接下来的圆桌探讨环节，张俊霞还特地邀请了中兴通讯股份有限公司开源合规 & 平安治理总监项曙明和中国电信研究院平安专家陈泳独特探讨开源平安治理模型和工具在企业具体实际中的痛点。面对开源合规治理，企业面临哪些挑战？平安治理模型、框架和工具如何在企业实际中落地？
中兴通讯股份有限公司开源合规 & 平安治理总监项曙明 首先针对以上问题进行了精彩分享。他示意：作为笼罩寰球市场的国际化公司，中兴很早就曾经构建可信供应链实际，以确保对产品的品质追踪溯源。同时，他强调了 SCA 工具在产生精确全面 SBOM 的重要性以及须要具备的能力，企业须要构建组件起源和版本治理的流程与标准。
中国电信研究院平安专家陈泳 分享了中国电信基于 DevOps 的开源平安治理方面的教训。对于建设 PaaS 经营体系，中国电信制订了一系列标准，建设了“8 个对立”的开源治理体系，对立标准和检测能力，利用开源治理的思维，通过梳理对整体架构和流程进行对立。最初，陈泳示意中国电信正做筹建成立 OSPO。
置信通过专家们对开源平安治理模型和工具的具体解读和落地实践经验分享，大家对开源软件供应链平安治理有了更深刻的意识。将来，期待能与更多的合作伙伴携手，独特守护中国软件供应链平安。