云计算开源产业联盟-金融行业开源治理白皮书（2019年）-2019.7-39页_1mb

金融行业开源治理白皮书总结（2019年）

核心内容概述

《金融行业开源治理白皮书》旨在分析开源技术在金融行业的应用现状与潜在风险，并提出相应的治理建议。随着开源技术的迅猛发展，金融行业在信息系统构建中越来越多地引入开源技术，但同时也面临技术、安全、合规、知识产权等方面的风险。因此，建立完善的开源治理体系成为金融行业数字化转型过程中不可忽视的重要环节。

主要观点

1. 开源技术已成为金融行业主流选择

   • 开源技术在云计算、大数据、人工智能、区块链等关键领域广泛应用。
   • 金融机构在构建信息系统时，越来越多地采用开源软件，以提升敏捷性、数据处理能力和技术自主性。

2. 开源技术的引入形式多样

   • 企业可能通过购买商业软件间接引入开源组件。
   • 企业也可能直接使用社区版开源软件，如Linux、MySQL、Hadoop等。
   • 一些开源软件的商业版本（如Red Hat、SUSE、Cloudera等）也受到金融机构青睐。

3. 引入开源技术面临多重风险

   • 技术风险：开源软件的运维和管理需要企业具备相应的技术能力，缺乏专业人才将导致运维困难。
   • 合规风险：开源许可证复杂，企业可能因未遵守开源约定而面临法律风险。
   • 安全风险：开源软件存在安全漏洞和潜在后门，影响数据安全与隐私保护。
   • 知识产权风险：部分开源许可证未明确知识产权归属，可能引发专利纠纷。
   • 供应链风险：开源许可证可能发生变化，影响企业对开源软件的长期使用。

关键信息

开源技术对金融行业的意义

• 提高科技实力：通过掌握源代码，金融机构可以进行二次开发，增强技术自主性。
• 保障信息安全：开源软件的透明性有助于金融机构评估和防范安全风险。
• 推动业务创新：开源技术的快速迭代和社区支持，有助于金融机构实现数字化转型和业务创新。

开源治理建议

1. 加强开源科普与风险意识

   • 通过白皮书、培训等方式提升行业对开源技术的理解与风险意识。
   • 推动政策与法律保护机制的完善，保障开源技术合规使用。

2. 建立金融开源社区

   • 国内已成立“金融行业开源技术应用社区”，推动行业交流与协作。
   • 国际已有FINOS等开源基金会，金融行业应加强与这些组织的合作。

3. 制定开源治理规范与标准

   • 中国信通院联合多家金融机构和科技公司制定《开源治理能力评价方法第2部分面向开源用户》。
   • 推动开源治理流程标准化，帮助金融机构建立统一的开源管理机制。

4. 建设开源治理体系

   • 从组织架构、管理制度、软件选型、使用规范、风险管理、二次开发、持续跟踪、社区反馈、退出机制等九个方面构建开源治理体系。
   • 通过平台化手段实现开源软件全生命周期的管理与跟踪。

附录：开源治理实践案例

中国农业银行

• 构建了“五位一体”的开源软件全生命周期管理体系。
• 提出了TOSIM开源软件一体化管理框架，涵盖选型、引入、使用、维护和退出。
• 建立了开源治理平台，实现流程化、线上化、可视化管理。
• 成功应用Spring框架、MPP数据库、Hadoop等开源技术，推进数字化转型。

上海浦东发展银行

• 建立了开源技术治理体系，涵盖组织架构、流程制度、评估方法、治理平台和行业社区。
• 引入了开源治理平台，实现了介质来源可控、漏洞跟踪、许可证管理等功能。
• 通过开源治理，有效防范使用风险，推动业务系统的安全与稳定运行。

中信银行

• 采用“审慎引入、逐步推广、分级掌控”原则。
• 引入开源软件需经过调研、测试、评估等流程。
• 对开源软件进行分类管理，根据其重要性决定掌控级别。
• 推进开源技术的实用化，通过开源实验室支持技术评估与验证。

中国太平洋保险（集团）

• 建立了开源技术导入标准流程与评估模型。
• 开源技术评估模型包括产品生命力、技术适用性、安全保障、本地化服务和商务友好性。
• 设立开源实验室，负责技术评估、模型优化、POC验证和引入管理。
• 推动开源技术库的实用化，提升技术应用效率与安全性。

总结

《金融行业开源治理白皮书》系统梳理了开源技术在金融行业的发展趋势、应用场景及潜在风险，并提出了从国家政策、行业社区、标准制定到企业内部治理的多层次建议。随着开源技术的广泛应用，金融机构必须建立完善的开源治理体系，以确保技术合规、安全可控和持续发展。