近年來，在企業(yè)數(shù)字化轉(zhuǎn)型進程逐步深入的過程中，開源保持高速增長態(tài)勢，開源軟件被各行業(yè)企業(yè)廣泛使用和推廣。國家層面，我國相關(guān)主管部門陸續(xù)出臺開源相關(guān)政策，積極推動開源以開放、透明、協(xié)作的方式加速國家數(shù)字化轉(zhuǎn)型步伐。行業(yè)層面，隨著越來越多的企業(yè)加入到開源社區(qū)中，在享受開源軟件帶來的“紅利”的同時，開源軟件供應鏈風險治理的重要性也在不斷的增強。

為進一步探討開源供應鏈安全合規(guī)發(fā)展方向，4月3日下午，由中國信息通信研究院云計算與大數(shù)據(jù)研究所、OpenChain聯(lián)合主辦的“OSCAR開源供應鏈沙龍”活動在北京舉辦。

中國信通院云大所副所長栗蔚出席活動并發(fā)表致辭。栗蔚從生態(tài)建設(shè)、標準測試、國際合作等三個方面對中國信息通信研究院近年來在開展開源供應鏈研究方面的工作成果進行了總結(jié)，她指出，生態(tài)建設(shè)方面，信通院依托開源相關(guān)社區(qū)/組織，推進標準制定、產(chǎn)業(yè)交流等相關(guān)工作；標準測試方面，信通院通過構(gòu)建企業(yè)鏈、產(chǎn)品鏈、服務(wù)鏈和工具鏈的開源供應鏈標準體系等舉措，推動企業(yè)開展開源供應鏈治理工作，建立開源供應鏈治理體系，促進我國開源供應鏈健康穩(wěn)定發(fā)展。

沙龍上，舉行了由中國信息通信研究院與國際組織OpenChain聯(lián)合評估發(fā)布的“2023年上半年可信開源供應鏈-OpenChain成果發(fā)布”儀式，以下為評估結(jié)果：

為進一步推進開源供應鏈實現(xiàn)安全合規(guī)發(fā)展，中國信息通信研究院于2021年1月底開展了第一批開源供應商名錄征集活動，范圍涵蓋云計算、大數(shù)據(jù)、中間件、數(shù)據(jù)庫、操作系統(tǒng)、開發(fā)框架和安全等領(lǐng)域。本次沙龍期間，中國信通院云大所開源和軟件安全部主任郭雪發(fā)布了“2023年中國信通院開源供應商名錄”（簡稱名錄），并對名錄進行了深度解讀。

郭雪表示開源在國家、企業(yè)層面的重視程度逐漸加深。她指出開源能夠有效推動科技創(chuàng)新，實現(xiàn)信息互通，推動產(chǎn)業(yè)鏈上下游合作、經(jīng)濟共享，形成全球協(xié)作可持續(xù)態(tài)勢，解決全球難點、痛點問題，有效打破邊界，提高生產(chǎn)效率，降低生產(chǎn)成本。

郭雪表示，開源應用廣泛，但風險依然存在，中國信通院積極推動開源供應鏈的發(fā)展，建立了可信開源標準體系與評估體系。此外，沙龍上發(fā)布了第四批開源供應商名錄。在未來，中國信通院會持續(xù)推進開源供應鏈標準體系的完善工作，以及開源供應商名錄收集工作。

中國信通院云大所開源和軟件安全部工程師李曉明在主題為《開源供應鏈系列標準解讀和產(chǎn)業(yè)洞察》的分享中表示，開源涉及風險種類較為復雜，中國信通院圍繞開源供應鏈全鏈路開展開源供應鏈標準化工作，規(guī)范企業(yè)、產(chǎn)品、服務(wù)和配套工具發(fā)展。她表示，中國信通院充分進行產(chǎn)業(yè)研究、洞察產(chǎn)業(yè)現(xiàn)狀，幫助企業(yè)提高開源供應鏈治理能力，降低開源供應鏈風險。未來中國信通院將繼續(xù)推進開源供應鏈相關(guān)研究，完善開源供應鏈標準體系和系列評估。

為了進一步完善可信開源供應鏈標準體系，助力企業(yè)進行開源代碼庫選型和建設(shè)，沙龍上，中國信通院云大所開源和軟件安全部工程師孔令昊還對《可信開源代碼庫技術(shù)要求》標準進行了深度解讀?？琢铌辉诮庾x中指出，可信開源代碼庫通常能夠托管源代碼、制品、鏡像的一種或幾種，該標準旨在摸清開源代碼庫使用現(xiàn)狀，給出開源代碼庫建設(shè)指引，量化開源代碼庫技術(shù)能力，明確不足之處以及降低開源代碼庫產(chǎn)品的差異性對用戶選型帶來的困難。

本次沙龍邀請了包括OpenChain、中興通訊、阿里云和肯睿在內(nèi)的眾多行業(yè)專家、企業(yè)代表，從開源供應鏈治理的落地實踐、治理趨勢、技術(shù)探索等維度，分享了開源供應鏈的相關(guān)實踐經(jīng)驗。

OSCAR開源供應鏈沙龍的圓滿舉辦，為我國開源供應鏈實現(xiàn)規(guī)劃化、標準化發(fā)展提供了些許經(jīng)驗。下一步，中國信息通信研究院將持續(xù)關(guān)注開源供應鏈發(fā)展，解決產(chǎn)業(yè)痛點問題，推進我國開源供應鏈生態(tài)體系建設(shè)，進一步促進我國開源供應鏈有序、良性發(fā)展。