长亭百川云 - 文章详情

关于开源许可实施与管理的讨论与思考 | 总第244周

君哥的体历

51

2024-07-13

‍‍

‍‍

0x1本周话题

话题:各位大佬,请教一下开源许可目前大家都是怎么做的?有没有做门禁,是根据工具扫描出的结果严格做的?还是直接手工添加一些策略比如禁止所有GPL或GPL和apache在一起的就禁止这种,开源组件许可证这边不知道要不要严格控制,总感觉会有很大阻力。

A1:这个事情要跟法务沟通,这样阻力会小的多,我们是政策+工具扫描的方式。

A2:按照供应链风险,由领导支持,成立了专门的开源治理小组来管,里面包括paas管组件的,开发用组件的,法务,安全,主责在管理组件的部门。不需要安全来接受违法风险。总结来讲就是不要一个人单干,意思就是这个事情关乎公司大局利益,拉着大伙一起干。

Q:干着干着总觉得哪里不对,原来是定位错了,把自己当成主责方了,那一般这个安全要牵头吗?牵头就成了主责方?

A3:安全的权力大就叫安全牵头。应该法务牵头。不过很可能法务不想牵头。

A4:这里提到的是许可,即license的事情,license是需要钱的,不花钱就有法律风险,所以应该叫法务牵头。如果涉及到某某版本,存在RCE,那就安全主动跟进,说这个版本有风险,需要升级或者弃用。

Q:讲道理,比如先问公司,收到license侵权律师函,一般由哪个部门接收和处理?

A5:版权被侵犯了法务还不出面?这是整个法务团队准备解散的前提吗?

A6:但是科技要是不去使用,就不会由侵权,所以科技还是得参与的。科技也不是安全去参与。只能说是科技的费用去支撑买license。所以安全可以利用这个委员会,不过大多数不牵头(能量大,老板信任,帮老板解决痛点另说)。

A7:侵权是商务问题,license是科技相关的东西,建议由科技负责人和法务负责人协商。

A8:我们是架构牵头,许可证他们负责,安全我们负责,法律会说不懂专业,而且用哪个,要不要买都是需要技术分析,所以还是得科技自治,法律配合。

Q:我的问题确实是许可证的问题,不过您提到这个,顺便请问一下那你们在落地的时候,这个许可控制是在哪个阶段做的?比如做开源组件引入的控制,一方面漏洞扫描,做一些禁止使用的策略,另一方面许可证你们也做准入控制吗?

A9:架构会控制引入,包括许可证的准入和制品的准入,现在会在构建阶段分析成分,结合hids结果搞应用台帐,然后定期做存量盘点。

A10:安全这里的事情就少了很多了。确认一下哪个版本,有什么漏洞风险即可。没有必要挑大梁。当然老板交代除外。

A11:他的问题不是因为GPL的许可问题吗?咋又涉及到漏洞层面的问题,他的问题应该是因为GPL以及和Apache相关的开源协议的问题。供应链安全是不是要考虑这些问题。

A12:充分体现了“带电的都是科技的”。我们也是这样,基本都科技内部处理。

A13:架构挑头了确实比安全容易很多,人家话语权大。

A14:供应链安全,这5个字,主要考虑的是断供,是要考虑许可证的,我们公司把供应链(供应)安全和供应链网络(漏洞)安全分开管理的,管理思路完全不同。架构是比较合适的,典型如jdk选型,法务等都只能算参考意见,但职责这回事,是老板的事,各组织情况都不一样,轮不到咱们来派活,咱们只能提供调研情况。

Q:供应链安全更多是治理层面考虑吗?感觉漏洞只是供应链安全中的一个方面。

A15:软件都只是供应链的一个方面,供应链可大了。

0x2 群友分享

【安全资讯】

甲方数据安全项目分层次建设思路

--------------------------------------------------------------------------

由于微信修改了推送规则,需读者经常留言或点“在看”“点赞”,否则会逐渐收不到推送!如果你还想看到我们的推送,请点赞收藏周报,将君哥的体历加为星标或每次看完后点击一下页面下端的“在看”“点赞”。

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送(每周)。根据话题整理的群周报完整版——每个话题甲方朋友们的****展开讨论内容——每周会上传知识星球,方便大家查阅。

往期群周报:

数据库管理与防护及开源软件使用策略探讨 | 总第243周

漏洞修复时如何确保业务不受影响?| 总第242周

钓鱼邮件如何确定office附件宏的打开者身份?| 总第241周

如何进群?

如何下载群周报完整版?

请见下图:

相关推荐
关注或联系我们
添加百川云公众号,移动管理云安全产品
咨询热线:
4000-327-707
百川公众号
百川公众号
百川云客服
百川云客服

Copyright ©2024 北京长亭科技有限公司
icon
京ICP备 2024055124号-2