共计 2926 个字符，预计需要花费 8 分钟才能阅读完成。
近日，上海安势信息技术有限公司（下称安势信息）对外发表正式成为 DevSecOps 畛域中国首家 OpenChain 我的项目会员。安势信息将同高通、谷歌、微软等其余寰球企业共建可信、平安的软件供应链，独特保护开源许可证合规畛域的国际标准 OpenChain ISO/IEC 5230。作为中国市场当先的软件供应链平安治理工具提供商，安势信息的退出标记着市场在自主抉择平安、许可证合规的工具等方面又迈出了重要一步。
OpenChain 我的项目是由 Linux 基金会发动的一项旨在制订开源软件供应链规范，帮忙寰球企业更高效地解决开源许可证一致性的问题。
安势信息创始人兼总裁薛植元示意：” 咱们很快乐在开源生态畛域与寰球其余成员一起退出 OpenChain。从 2016 年开始，OpenChain 始终致力于为市场上不同规模的企业提供可信赖与合规统一的开源供应链。安势信息将携手 OpenChain，在工具、培训、钻研、最佳实际和征询方面，为开源社区做出继续奉献。开源社区和 OpenChain 的合作基因也将有助于咱们协调和利用业内最佳资源。咱们置信，这样的严密单干将会让软件供应链变得更加平安和牢靠。”
在混源开发不可避免的同时，一系列的平安和合规危险也随同着整个软件开发生命周期，并影响着整个软件供应链。安势信息以行业当先的 SCA 产品作为切入点，围绕 DevSecOps 流程，从工具到流程再到组织，保持继续翻新，打造独具特色的端到端最佳实际。通过团队成员多年的继续积攒，安势信息目前已与多家高科技头部企业建设了深厚的单干关系。
“ 就人口而言，中国是世界上最大的繁多市场，也是寰球供应链中最重要的一部分，”OpenChain 的总经理 Shane Coughlan 说到：” 安势信息代表了围绕开源的外乡企业当先实力的倒退。与产品交付能力严密相干的是，产品的反对与服务流程须要一直改善。在这个十年的开始，SCA 始终是开源供应链中重要的组成部分，在将来几年里，它仍将是至关重要的。”
在随后 OpenChain 组织召开的第 42 期线上研讨会上，上海安势信息技术有限公司（下称安势信息）的技术市场总监王峰受邀缺席并发表名为《SCA 厂商在中国市场面临的时机与挑战》的全英文主题演讲。
王峰发表名为《SCA 厂商在中国市场面临的时机与挑战》的全英文主题演讲
王峰领有威斯康星大学麦迪逊分校电子工程学士、宾夕法尼亚大学电子工程硕士学位，曾负责美国有线电视运营商 Comcast 高级软件工程师，负责网络自动化软件开发等工作，作为企业外部开源贡献者（Innersource Contributor）将我的项目和软件在企业外部进行分享应用。他在美国工作学习 11 年，在感触到开源软件在中国市场的蓬勃发展后，王峰抉择回国并退出安势信息。
正如王峰在《SCA 厂商在中国市场面临的时机与挑战》主题演讲中提到的，开源软件在中国市场经验了由萌芽到蓬勃发展的阶段。
开源软件在中国的缘起、落地及倒退
中国的开源软件产业相较于欧美发达国家而言起步绝对较晚，大抵经验了从萌芽、云计算 & 人工智能减速落地和高速倒退的三个阶段。目前，中国曾经逐渐建设了绝对成熟的开源生态系统。
在中国的开源生态畛域，由云计算、科技企业孵化、开办的开源企业 / 我的项目和由开发者社区、代码托管平台、开源基金会、开源联盟独特形成了开源软件市场的参加主体。
中国企业在积极参与寰球开源生态建设的过程中，影响力一劳永逸。截止目前 GitHub 有 755 万名中国开发者，人数位居寰球第二；更多的中国企业进入寰球开源畛域行业的前列；中国正成为寰球开发者社区中不可漠视的重要力量。
此外，在这一时期，中国外乡开办了很多的开源组织和社区，企业踊跃募捐开源我的项目，相干开源基金会的成立，独特推动中国开源产业发展壮大。安势信息此次退出 OpenChain，很荣幸能与中国信通院、华为和 OPPO 等搭档共建可信、平安的软件供应链。
开源产业同样引起了国家层面的高度重视。政府将开源明确列入 ” 十四五 ” 布局中，并从法律层面明确增强对知识产权的爱护。一些因违反开源许可证应用协定（例如: GPL 3.0 ) 引发的版权纠纷案也引起了企业对开源许可证合规的器重。
国内的开源生态倒退经验了一个从无都有，再到蓬勃发展过程，对寰球开源的奉献和影响力也会越来越大。
SCA 的倒退 挑战与时机并存
Apache Log4j 破绽事件的暴发，让开源软件供应链平安的话题热度继续走高的同时，也为网络安全市场吹来了新的风向。随着开源危险的继续扩充，SCA（Software Composition Analysis，软件成分剖析）正在失去更宽泛的利用。
为了在 SCA 产品需要爆发式增长的市场中抢占洼地，利用平安赛道涌现了一大批新的 SCA 厂商。据统计，中国 SCA 初创公司的数量较去年增长了 1 倍，资本也纷纷入局，开源畛域的融资案例数量和资金总额不断创新高。
放眼寰球，以后国内企业在软件平安方面的资金投入仅占寰球企业软件平安均匀投入金额的三分之一，中国网络安全市场的空间微小。
随后，王峰别离从政治、经济、文化和技术四个角度别离阐释了 SCA 厂商以后面临的时机和挑战。时机来自于在国家产业转型降级的大环境下，政府对开源产业高度重视，相干政策和知识产权法律爱护程度都有了显著晋升。
对于 SCA 厂商面临的挑战，王峰别离列举了外乡 SCA 厂商和海内 SCA 厂商亟需解决的问题并开展阐明。中国开源软件产业起步绝对较晚，相干业余技术人才绝对匮乏；另一方面，企业对开源合规的重要性意识还不够；很多厂商提供的 SCA 工具往往更多的是基于平安而非合规，对于提供成熟的开源合规治理工具方面仍有很多教训须要积攒
海内 SCA 厂商在进入中国市场时也同样面临挑战。例如：对本地反对较弱，不能提供二次开发服务，短少灵活性；而随着 SaaS 技术的倒退，海内 SCA 供应商也在逐步缩小对本地化部署的反对，不能满足局部有本地化部署需要的用户；或因为一些其余因素对国内客户断供，无奈为国内企业提供继续牢靠的反对。
以上的内部因素和外部因素独特形成了中国 SCA 厂商面临的时机与挑战。
拥抱开源，携手 OpenChain 共建开源生态
作为中国市场当先的软件供应链平安治理工具提供商，安势信息退出 OpenChain 组织，将极大地促成开源许可证合规畛域的国际标准 OpenChain ISO/IEC 5230 在中国市场的推广，并帮忙其在企业落地施行。
同时，作为 OpenChain 的一员，安势信息将继续对市场输入建设平安、牢靠软件供应链的重要性的理念，一直进步市场对 SCA 工具和开源合规的重要性的意识。
安势信息在高速倒退的同时，始终高度重视与开源生态各畛域的合作。公司近期也退出了 OpenSSF (开源软件平安基金会)，有幸成为国内第一家退出该基金会的 SCA 厂商。并放眼寰球，与寰球当先的国内开源组织和微软、谷歌、华为等搭档一起携手共建安全可靠的开源软件供应链。
以技术为导向，以客户为核心。安势信息始终置信市场和客户才是咱们放弃创新性和先进性的源泉和基石。” 正本清源，不止于平安 ”，安势信息将保持在软件供应链危险治理上继续发力，不断完善产品和最佳实际。将来，安势信息将携手 OpenChain，继续晋升市场和企业对 SCA 关注和投入，更加严密地拥抱开源。
