0x1本周话题
话题:各位大佬,请教一下开源许可目前大家都是怎么做的?有没有做门禁,是根据工具扫描出的结果严格做的?还是直接手工添加一些策略比如禁止所有GPL或GPL和apache在一起的就禁止这种,开源组件许可证这边不知道要不要严格控制,总感觉会有很大阻力。
A1:这个事情要跟法务沟通,这样阻力会小的多,我们是政策+工具扫描的方式。
A2:按照供应链风险,由领导支持,成立了专门的开源治理小组来管,里面包括paas管组件的,开发用组件的,法务,安全,主责在管理组件的部门。不需要安全来接受违法风险。总结来讲就是不要一个人单干,意思就是这个事情关乎公司大局利益,拉着大伙一起干。
Q:干着干着总觉得哪里不对,原来是定位错了,把自己当成主责方了,那一般这个安全要牵头吗?牵头就成了主责方?
A3:安全的权力大就叫安全牵头。应该法务牵头。不过很可能法务不想牵头。
A4:这里提到的是许可,即license的事情,license是需要钱的,不花钱就有法律风险,所以应该叫法务牵头。如果涉及到某某版本,存在RCE,那就安全主动跟进,说这个版本有风险,需要升级或者弃用。
Q:讲道理,比如先问公司,收到license侵权律师函,一般由哪个部门接收和处理?
A5:版权被侵犯了法务还不出面?这是整个法务团队准备解散的前提吗?
A6:但是科技要是不去使用,就不会由侵权,所以科技还是得参与的。科技也不是安全去参与。只能说是科技的费用去支撑买license。所以安全可以利用这个委员会,不过大多数不牵头(能量大,老板信任,帮老板解决痛点另说)。
A7:侵权是商务问题,license是科技相关的东西,建议由科技负责人和法务负责人协商。
A8:我们是架构牵头,许可证他们负责,安全我们负责,法律会说不懂专业,而且用哪个,要不要买都是需要技术分析,所以还是得科技自治,法律配合。
Q:我的问题确实是许可证的问题,不过您提到这个,顺便请问一下那你们在落地的时候,这个许可控制是在哪个阶段做的?比如做开源组件引入的控制,一方面漏洞扫描,做一些禁止使用的策略,另一方面许可证你们也做准入控制吗?
A9:架构会控制引入,包括许可证的准入和制品的准入,现在会在构建阶段分析成分,结合hids结果搞应用台帐,然后定期做存量盘点。
A10:安全这里的事情就少了很多了。确认一下哪个版本,有什么漏洞风险即可。没有必要挑大梁。当然老板交代除外。
A11:他的问题不是因为GPL的许可问题吗?咋又涉及到漏洞层面的问题,他的问题应该是因为GPL以及和Apache相关的开源协议的问题。供应链安全是不是要考虑这些问题。
A12:充分体现了“带电的都是科技的”。我们也是这样,基本都科技内部处理。
A13:架构挑头了确实比安全容易很多,人家话语权大。
A14:供应链安全,这5个字,主要考虑的是断供,是要考虑许可证的,我们公司把供应链(供应)安全和供应链网络(漏洞)安全分开管理的,管理思路完全不同。架构是比较合适的,典型如jdk选型,法务等都只能算参考意见,但职责这回事,是老板的事,各组织情况都不一样,轮不到咱们来派活,咱们只能提供调研情况。
Q:供应链安全更多是治理层面考虑吗?感觉漏洞只是供应链安全中的一个方面。
A15:软件都只是供应链的一个方面,供应链可大了。
0x2 群友分享
【安全资讯】
--------------------------------------------------------------------------
由于微信修改了推送规则,需读者经常留言或点“在看”“点赞”,否则会逐渐收不到推送!如果你还想看到我们的推送,请点赞收藏周报,将君哥的体历加为星标或每次看完后点击一下页面下端的“在看”“点赞”。
【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送(每周)。根据话题整理的群周报完整版——每个话题甲方朋友们的****展开讨论内容——每周会上传知识星球,方便大家查阅。
往期群周报:
钓鱼邮件如何确定office附件宏的打开者身份?| 总第241周
如何下载群周报完整版?
请见下图: