2023-06-06-云计算开源产业联盟-2023年中国企业开源治理全景观察报告_32页_2mb

2023年中国企业开源治理全景观察总结

1. 开源治理框架

   • 2023年中国企业开源治理能力成熟度模型（OSGMM）包含7个过程环节和3个能力分级（基础级、增强级、先进级），涉及40余项活动。
   • 治理活动包括组织机构、管理制度、风险管理、软件测评、开发测试、运维管理及持续跟踪等。

2. 调研概况

   • 参与企业：覆盖金融、通信、汽车、能源、软件与信息服务、互联网、制造7大行业，总计105家企业，规模分布广泛。
   • 关注风险：企业普遍关注运维和技术风险、安全管理、合规与知识产权风险。

3. 行业对比分析

   • 金融行业：受监管推动，注重风险管理、软件测评及退出管理。
   • 通信行业：强调供应链管理，突出第三方软件管理。
   • 汽车行业：管理制度和开发测试关注度高。
   • 能源行业：重视第三方软件管理和运维管理。
   • 制造行业：整体治理水平较低。
   • 软件/互联网行业：重点关注存量软件管理、组织机制、软件测评和开发测试。

4. 待提升领域

   • 组织与机制：缺乏专门的开源治理团队及全职人力资源。
   • 管理制度：缺乏全生命周期的事前管控和制度评审。
   • 风险管理：缺乏SCA工具和SBOM管理，合规性不足。
   • 软件测评：缺乏统一评估模型，版本管控不足。
   • 存量管理：未建立系统性的周期性检查机制。
   • 第三方管理：依赖合同规范，缺少交付物检查和验证。

5. 关键建议

   • 构建专业团队，将开源治理嵌入企业规章。
   • 制定适合企业特点的开源软件评估方法。
   • 引入开源治理支撑平台，提升自动化能力。
   • 推动开源许可证合规管理及漏洞修复流程。
   • 参与可信开源治理能力成熟度评估，明确优化方向。

6. **结论**  
企业在开源治理方面已取得显著进展，但整体仍需加强制度建设、风险管理、合规性和自动化能力。行业差异明显，未来应结合业务特点制定针对性策略。