近日，“心寄源”法律沙龍（2023第六期 | 總第十一期）在開(kāi)放原子開(kāi)源基金會(huì)（以下簡(jiǎn)稱(chēng)“基金會(huì)”）成功召開(kāi)，本期沙龍邀請(qǐng)到了字節(jié)跳動(dòng)開(kāi)源委員會(huì)法律顧問(wèn)孫振華律師，圍繞熱點(diǎn)話(huà)題“OpenChain開(kāi)源合規(guī)標(biāo)準(zhǔn)實(shí)踐”主題進(jìn)行了深度剖析，參會(huì)嘉賓展開(kāi)了積極討論。本期沙龍線(xiàn)下、線(xiàn)上同步開(kāi)展，受到參會(huì)嘉賓的一致好評(píng)。

沙龍議程

演講及圓桌主題：

OpenChain開(kāi)源合規(guī)標(biāo)準(zhǔn)實(shí)踐

主講嘉賓：

孫振華律師

字節(jié)跳動(dòng)開(kāi)源委員會(huì)法律顧問(wèn)

孫振華律師負(fù)責(zé)公司代碼合規(guī)及開(kāi)源相關(guān)的法律事務(wù)，推動(dòng)并支持字節(jié)OSPO的成立和發(fā)展，致力于OpenChain開(kāi)源合規(guī)國(guó)際標(biāo)準(zhǔn)在公司的落地和完善；長(zhǎng)期參與開(kāi)源相關(guān)的社區(qū)活動(dòng)，信通院OSCAR開(kāi)源之書(shū)活動(dòng)的積極貢獻(xiàn)者，《現(xiàn)代企業(yè)合規(guī)指引》開(kāi)源合規(guī)章節(jié)作者，曾因在開(kāi)源合規(guī)方面的貢獻(xiàn)被評(píng)為中國(guó)開(kāi)源先鋒；曾任律師及專(zhuān)利代理人。

本期要點(diǎn)

孫律師從什么是開(kāi)源軟件供應(yīng)鏈、開(kāi)源軟件供應(yīng)鏈常見(jiàn)的風(fēng)險(xiǎn)和挑戰(zhàn)、OpenChain國(guó)際標(biāo)準(zhǔn)、如何采用OpenChain標(biāo)準(zhǔn)四個(gè)方面對(duì)OpenChain開(kāi)源合規(guī)標(biāo)準(zhǔn)實(shí)踐進(jìn)行了深入淺出的講解。

在第一部分“什么是開(kāi)源軟件供應(yīng)鏈”中，孫律師從軟件供應(yīng)鏈的基本概念出發(fā)，通過(guò)示意圖講解了軟件供應(yīng)鏈在公司內(nèi)部的DevOps流程。其次，孫律師介紹了從上游到公司內(nèi)部，再到下游的開(kāi)源供應(yīng)鏈?zhǔn)疽鈭D，在公司內(nèi)部可能涉及集成（Integration）、產(chǎn)品質(zhì)量（QA）、產(chǎn)品化（Productization）等。孫律師指出，當(dāng)下，軟件規(guī)模不斷擴(kuò)大，企業(yè)自行開(kāi)發(fā)軟件的難度越來(lái)越大，為了避免重復(fù)造輪子，開(kāi)發(fā)過(guò)程引入開(kāi)源組件已經(jīng)成為軟件開(kāi)發(fā)的趨勢(shì)和主流解決方案。

第二部分孫律師介紹了“開(kāi)源軟件供應(yīng)鏈常見(jiàn)的風(fēng)險(xiǎn)和挑戰(zhàn)”。他指出，很多代碼庫(kù)都有安全和運(yùn)營(yíng)的風(fēng)險(xiǎn)，例如代碼庫(kù)存在許可證沖突、代碼庫(kù)包含了至少已過(guò)期四年的開(kāi)源代碼、代碼庫(kù)包含沒(méi)有許可證或使用定制許可證的開(kāi)源代碼、代碼庫(kù)包含兩年未更新的組件等風(fēng)險(xiǎn)。現(xiàn)如今軟件供應(yīng)鏈越來(lái)越復(fù)雜，而開(kāi)源軟件的安全和合規(guī)問(wèn)題也隨著軟件供應(yīng)鏈不斷傳遞，我們面對(duì)的挑戰(zhàn)是如何構(gòu)建可信（合規(guī)）、高效的供應(yīng)鏈。

隨后孫律師重點(diǎn)介紹了OpenChain國(guó)際標(biāo)準(zhǔn)。他指出，OpenChain為開(kāi)源管理提供了最佳實(shí)踐，展示了端到端的管理流程——識(shí)別、檢查、問(wèn)題處理、審核、批準(zhǔn)、注冊(cè)、聲明、驗(yàn)證、發(fā)布、以及發(fā)布后的驗(yàn)證。此外，OpenChain也是一個(gè)社區(qū)，下設(shè)工具、規(guī)格、自動(dòng)化、教育等社區(qū)小組，還有法律及合規(guī)咨詢(xún)機(jī)構(gòu)、合規(guī)工具廠(chǎng)商等作為合作伙伴。孫律師介紹，2020年12月16日，OpenChain規(guī)格成為國(guó)際標(biāo)準(zhǔn)ISO/IEC 5230，OpenChain項(xiàng)目社區(qū)將持續(xù)維護(hù)該標(biāo)準(zhǔn)的升級(jí)與演進(jìn)。簡(jiǎn)而言之，OpenChain標(biāo)準(zhǔn)統(tǒng)一了一套在整個(gè)開(kāi)源軟件供應(yīng)鏈上的認(rèn)證標(biāo)準(zhǔn)，加入的供應(yīng)商及其項(xiàng)目都需要經(jīng)過(guò)合規(guī)認(rèn)證，認(rèn)證之后，整個(gè)開(kāi)源社區(qū)對(duì)于該公司或該項(xiàng)目開(kāi)源供應(yīng)鏈上關(guān)于開(kāi)源許可的相關(guān)問(wèn)題的顧慮將大幅減少。此外，孫律師還分享了一些OpenChain相關(guān)的網(wǎng)址，供大家進(jìn)一步了解和學(xué)習(xí)：

https://www.openchainproject.org/

https://github.com/OpenChain-Project

https://github.com/OpenChain-Project/Curriculum/tree/master/policy-template

最后，孫律師闡述了如何應(yīng)用OpenChain標(biāo)準(zhǔn)。他首先從實(shí)踐角度指出了維護(hù)良好的開(kāi)源軟件供應(yīng)鏈的價(jià)值：一是支持客戶(hù)使用公司提供的開(kāi)源解決方案；二是支持公司使用最佳的開(kāi)源解決方案；三是增強(qiáng)公司主導(dǎo)的開(kāi)源項(xiàng)目對(duì)開(kāi)發(fā)者和用戶(hù)的吸引力；四是更好地貢獻(xiàn)和支持公司依賴(lài)的開(kāi)源生態(tài)。其次，孫律師介紹了開(kāi)源合規(guī)的定義，廣義上，開(kāi)源合規(guī)是開(kāi)源知識(shí)產(chǎn)權(quán)的合規(guī)，涵蓋著作權(quán)、專(zhuān)利、商標(biāo)和商業(yè)秘密等多個(gè)方面。狹義上，開(kāi)源合規(guī)是指對(duì)于開(kāi)源許可證的遵守，具體而言是指對(duì)于開(kāi)源許可證中列明的義務(wù)的遵守。孫律師指出，開(kāi)源合規(guī)的落地包含非常多細(xì)節(jié)，但所有工作都是為了實(shí)現(xiàn)兩個(gè)總體目標(biāo)：一是識(shí)別開(kāi)源軟件；二是滿(mǎn)足開(kāi)源合規(guī)義務(wù)。

孫律師認(rèn)為，從人員角度出發(fā)，采用OpenChain標(biāo)準(zhǔn)需要DevOps的工具團(tuán)隊(duì)、合規(guī)團(tuán)隊(duì)、法務(wù)團(tuán)隊(duì)通力合作，并得到擴(kuò)展團(tuán)隊(duì)的大力支持。在引入開(kāi)源軟件時(shí)，需確保開(kāi)發(fā)者使用高質(zhì)量的組件，并從可信的提供商處獲得；使用開(kāi)源軟件時(shí)有記錄，可跟蹤；了解使用該組件的法律合規(guī)需求；在對(duì)外輸出軟件或服務(wù)時(shí)，確保工程師發(fā)布時(shí)同時(shí)有一份軟件組件清單，并滿(mǎn)足這些開(kāi)源組件的合規(guī)要求；及時(shí)修復(fù)安全/運(yùn)維/法務(wù)提出的各種問(wèn)題等。此外，孫律師還強(qiáng)調(diào)了公司進(jìn)行開(kāi)源合規(guī)培訓(xùn)的重要性，并舉例介紹了部分培訓(xùn)內(nèi)容，如公司如何實(shí)現(xiàn)開(kāi)源、開(kāi)源許可證的簡(jiǎn)介、開(kāi)源合規(guī)的簡(jiǎn)介、端到端合規(guī)管理、如何為外部開(kāi)源項(xiàng)目做貢獻(xiàn)等。

主題演講環(huán)節(jié)后，孫律師同與會(huì)嘉賓就OpenChain展示的端到端管理流程中“驗(yàn)證”和“發(fā)布后的驗(yàn)證”環(huán)節(jié)由哪些職能部門(mén)負(fù)責(zé)通過(guò)何種方式落實(shí)、OpenChain如何進(jìn)行認(rèn)證、OpenChain標(biāo)準(zhǔn)的具體落地、OpenChain相關(guān)培訓(xùn)課程等問(wèn)題，進(jìn)行了全方位的討論。

本期沙龍給大家?guī)?lái)很多啟示，達(dá)到了預(yù)期效果，得到了與會(huì)嘉賓的一致好評(píng)。

聯(lián)系我們

沙龍活動(dòng)一般采取閉門(mén)的主題演講和圓桌討論的形式，線(xiàn)下、線(xiàn)上同步進(jìn)行，時(shí)間通常在月初或月末的周五下午，可能根據(jù)節(jié)假日或主講嘉賓時(shí)間微調(diào)。

我們歡迎有開(kāi)源法律實(shí)踐經(jīng)驗(yàn)的企業(yè)法務(wù)、律師等法律專(zhuān)家成為沙龍成員，分享您熟悉的開(kāi)源法律理論和實(shí)踐，跟進(jìn)業(yè)內(nèi)前沿話(huà)題，展開(kāi)專(zhuān)業(yè)、務(wù)實(shí)的探討。

沙龍旨在為相關(guān)專(zhuān)業(yè)人士提供一個(gè)暢所欲言、共建共享的交流平臺(tái)，開(kāi)啟開(kāi)源法律相關(guān)人才交流的新紀(jì)元；同時(shí)進(jìn)一步推廣開(kāi)源文化，吸引更多人才加入到開(kāi)源法律行業(yè)中。

心寄源、法同行，攜手開(kāi)啟開(kāi)源法律相關(guān)人才交流的新紀(jì)元！

聲明：沙龍嘉賓的發(fā)言?xún)H代表個(gè)人觀(guān)點(diǎn)，除非特殊說(shuō)明不代表其所在單位的觀(guān)點(diǎn)或開(kāi)放原子開(kāi)源基金會(huì)的觀(guān)點(diǎn)。

審核編輯 黃宇