随着近些年开源技术的广泛应用,我国开源生态不断发展壮大,企业在广泛使用开源软件的过程中逐步了解开源风险,从而关注开源治理。与此同时,市场上涌现了大量开源项目、开源治理方法和配套的开源治理工具。针对水平不一的市场参与者,中国信通院建立可信开源标准体系,并落地评估测试。对企业开源治理能力、开源项目合规性、开源社区成熟度、开源工具检测能力、商业产品开源风险管理能力开展测评,以帮助企业降低开源软件的使用风险,推动建立可信开源生态。
2021年9月17日,中国信通院2021年最新可信开源评估结果在2021 OSCAR开源产业大会上正式公布!
可信开源治理能力
中国工商银行股份有限公司、上海浦东发展银行股份有限公司、招商银行股份有限公司、中移信息技术有限公司
可信开源社区
Apache ShardingSphere、Rancher、TiDB、MOSN
可信开源项目
Apache ShardingSphere(版本号:5.0.0-beta)
Apache APISIX(版本号:2.8)
Apache Doris(版本号:0.14)
EMQ X(版本号:4.3.6)
OpenMLDB(版本号:0.2.2)
RANCHER(版本号:2.5.9)
优麒麟(版本号:20.04 LTS Pro)
Flomesh Pipy(版本号:0.8.0-31)
Alluxio(版本号:2.6.1)
CyberDog(版本号:1.0.0.66)
Curve(版本号:1.2.1-rc0)
首批可信开源供应链-产品能力
日志易-日志易 V2.0
网易数帆-轻舟微服务 21.0.1 GA
可信开源治理工具
深圳开源互联网安全技术有限公司 开源组件安全及合规管理平台(本地部署版)
中国信通院累计完成46项可信开源评估
可信开源评估结果
可信开源治理
开源使用
中国工商银行股份有限公司
中国农业银行股份有限公司
上海浦东发展银行股份有限公司
中国太平洋保险(集团)股份有限公司
中信银行股份有限公司
招商银行股份有限公司
中移信息技术有限公司
自发开源
腾讯科技(深圳)有限公司
可信开源供应链
企业能力
中兴通讯股份有限公司
北京小米移动软件有限公司
产品能力
中兴T8000(版本:V4.00.10)
小米手机11 MIUI 12.5(版本:V12.5.6.0.RKBCNXM)
北京优特捷信息技术有限公司-日志易 V2.0
杭州网易数帆科技有限公司-轻舟微服务 21.0.1 GA
可信开源社区
openEuler
openGauss
MindSpore
openLooKeng
TARS
腾讯蓝盾平台BK-CI
Apache ShardingSphere
RANCHER
TiDB
MOSN
可信开源项目
腾讯蓝盾平台BK-CI(版本:V1.3.0-rc.10)
TARS(版本:TarsJava v1.7.2)
Apache APISIX (版本:1.4)
Apache Pulsar(版本:2.6.0)
Apache Kylin(版本:3.1.0)
腾讯蓝盾平台BK-CI(版本:1.0.0-beta.15)
TARS(版本:2.1.0)
Apache ShardingSphere(版本:4.0.1)
Apache ShardingSphere(版本号:5.0.0-beta)
Apache APISIX(版本号:2.8)
Apache Doris(版本号:0.14)
EMQ X(版本号:4.3.6)
OpenMLDB(版本号:0.2.2)
Rancher(版本号:2.5.9)
优麒麟(版本号:20.04 LTS Pro)
Flomesh Pipy(版本号:0.8.0-31)
Alluxio(版本号:2.6.1)
CyberDog(版本号:1.0.0.66)
Curve(版本号:1.2.1-rc0)
可信开源治理工具
网神信息技术(北京)股份有限公司—奇安信开源卫士(SaaS版+本地部署版)
苏州棱镜七彩信息科技有限公司—FossEye(SaaS版)+开源治理平台(本地部署饭)
深圳开源互联网安全技术有限公司—开源组件安全及合规管理平台(SaaS版+本地部署版本)
北京安普诺信息技术有限公司—悬镜源鉴开源威胁管控平台(SaaS版+本地部署版本)
国家超级计算无锡中心—重睛鸟代码审查系统 SaaS 版
西安奇科厚德信息科技有限公司—Checode开源助手检测系统(本地部署版)
新思科技(上海)有限公司—Synopsys BlackDuck(SaaS版+本地部署版)
杰蛙科技(北京)有限公司—JFrog X-Ray(本地部署版)
可信开源评估介绍
可信开源治理评估
面向用户企业:评估对象为使用开源软件的企业用户。开源软件的广泛使用也从安全和合规角度对企业的开源治理能力提出了更高的要求。针对企业用户在使用开源软件时面临的风险,重点考察企业在组织机制、管理制度、风险管理、软件测评选型、技术使用管理、技术运维管理、定期健康评估和软件退出管理等方面的能力。根据企业开源治理水平实际所处的不同阶段,将划分为基础级、增强级和先进级。
面向自发开源企业:评估对象为发起开源项目的企业。重点考察企业在开源治理组织架构、开源项目管理制度、开源工具平台建设、开源项目申请、开源项目审批、开源项目发布、开源项目运行维护、开源社区管理、开源项目关闭九个方面的规范性。
可信开源供应链评估
评估对象为基于开源软件提供商业解决方案的软件提供商或者提供云服务的云服务商,帮助软件提供商和云服务商规范开源软件引入、开发和交付流程和制度,帮助企业降低开源供应链风险。
评估类型分为企业开源供应链风险管理能力评估和产品开源供应链风险管理能力评估。
可信开源社区评估
评估对象为开源社区,开源社区=人+项目+基础设施平台,一个好的开源社区有助于开源项目营造良好的开源生态并扩大影响力。可信开源社区评估从基础设施、社区治理、社区运营与社区开发等角度,梳理开源社区应关注的内容及指标,聚焦于如何构建活跃的开发者生态与可信的开源社区。
可信开源项目评估
评估对象为社区版的开源项目。重点考察开源项目在许可证合规性、软件安全性、软件活跃度、技术成熟度、服务支持力和软件兼容性六个方面的能力,全面衡量社区版开源项目的健康程度,为开源项目使用方提供选型的参考依据。
可信开源治理工具评估
评估对象为具有开源组成和安全性分析功能的开源组件扫描工具对其基本能力,技术支持能力,易用性,部署能力,安全性,兼容性进行评估,帮助规范和提升开源治理工具质量,同时适用于采购此类工具的开源用户,帮助用户企业采购此类工具作为选型参考。
评估评估类型为SaaS版评估、本地部署版评估、SaaS版+本地部署版评估。
