金融数据保护治理白皮书（2022）-北京金融科技产业联盟_44页_1mb

银行业开源生态发展报告总结

一、背景及意义

开源技术已成为推动金融科技发展的重要力量。2021年人民银行等五部门联合发布《关于规范金融业开源技术应用与发展的意见》，明确金融机构需提升开源技术应用水平和自主可控能力。国家"十四五"规划将开源纳入核心发展战略，推动开源技术与金融场景深度融合。金融行业通过开源技术实现降本增效、加速创新，形成以数据为中枢的技术辐射效应，对产品服务、经营模式等产生深远影响。

二、开源生态现状

1. 政策环境

国家层面：

• 《"十四五"数字经济发展规划》支持开源社区建设，鼓励开放协作
• 《"十四五"软件和信息技术服务业发展规划》将"繁荣国内开源生态"列为重要任务
  金融行业：
• 《金融科技发展规划（2022-2025年）》推动金融行业深度参与开源生态
• 金融机构普遍建立开源治理机制，将开源技术发展纳入信息技术战略

2. 基础设施

• 代码托管平台：Gitee（800万用户）、GitCode（千万级开发者）、CODING/云效/CodeHub/效率云等平台，金融行业建设OFTP平台接入70余家机构
• 漏洞库：CNNVD收录4万余漏洞数据，FOST平台建立风险信息共享机制，实现漏洞通报一站式服务

三、关键问题与风险

1. 主要痛点

• 概念认知不足：机构间开源软件应用量级差异达300倍，部分将商业版、依赖包等排除在开源范围外
• 内涵理解不深：多数机构未将开源视为战略资源，缺乏系统性贡献机制
• 主动开源不畅：内部流程复杂，科技团队面临量化评估、跨部门协作等多重挑战
• 法规宣导不足：仅1家机构开展专有开源合规研讨，许可证管理存在认知偏差
• 安全风险突出：数据泄露、代码投毒等案例频发，缺乏统一安全保障体系

2. 风险应对

• 安全风险：建立安全准入、使用、退出、监测、处置、复测六大机制，推动DevSecOps体系建设
• 法律风险：加强许可证兼容性评估，建立开源合规审查流程，跟踪已发生司法案例
• 供应链风险：建立多级供应商管理体系，防范出口管制和代码攻击风险

四、发展趋势

1. 产业协同深化：
   • 开源商业公司提供定制化解决方案
   • 金融机构与科技企业共建开源社区生态
   • 开源治理咨询机构推动战略落地
2. 生态共建提速：
   • FOST平台实现风险信息共享
   • 银行业形成以需求为主导的开源生态雏形
3. 开源教程期到来：
   • 金融机构开始建立专业化的开源管理机制
   • 共同制定《金融技术产品开源项目管理指南》标准
4. 数据技术中心化：
   • 大数据、区块链、人工智能等技术聚焦数据价值挖掘
   • 开源技术成为数据安全与应用创新的核心支撑

五、发展建议

1. 人才培养：
   • 建立跨领域协同机制
   • 引入法律合规专家参与开源治理
2. 公共服务：
   • 构建漏洞通报共享机制
   • 完善开源代码托管与知识库平台
3. 社区建设：
   • 鼓励参与国际开源社区
   • 培育重点开源项目生态
4. 标准执行：
   • 建立开源供应商评价体系
   • 推进开源软件全生命周期评估
   • 构建开源治理成熟度模型
5. 机制优化：
   • 完善顶层设计和执行机构
   • 建立合规-安全-运维三位一体管理架构

六、实践案例

1. 中国农业银行：
   • 建设数据湖技术栈，采用Hudi、Alluxio、Flink等开源技术
   • 形成TOSIM一体化管理体系，实现开源全流程闭环管理
   • 覆盖500余项应用，获多项行业标准制定成果
2. 兴业银行：
   • 构建全栈信创容器云平台
   • 自研SmartVPA动态资源控制套件
   • 开展区块链跨链项目，支撑金融分布式账本应用
3. 交通银行：
   • 自主研发CBase分布式数据库，实现30000+TPS处理能力
   • 建成跨区域部署体系，支持海量交易场景
4. 中国工商银行：
   • 参与构建开源治理标准体系
   • 推动Karmada、Loggie等开源项目发展
   • 实现金融科技与开源生态深度融合
5. 浙江网商银行：
   • 建立《开源软件引入规范》《全生命周期应用规范》
   • 构建多维度评估体系，覆盖架构、安全、合规等环节

报告指出，尽管金融机构开源应用取得显著进展，但整体仍处于探索阶段，需加强技术治理体系建设和生态协同，方能实现开源与金融科技的深度融合。