GSS資安電子報0148期【企業採用開源軟體所面臨的專利權與資安風險】

本文同步刊載於2017.12月號 CIO IT經理人

  隨著雲端運算與物聯網等先進科技應用陸續進入企業的相關運作，在有著成本及導入時間優勢的情況下，開源軟體又稱為開放原始碼軟體(Open Source Software)已經被一般企業所廣為採用。只是，因為開源軟體的開發週期依專案需求與規模，有著時程不一的情況。所以，等到最後整合測試階段才發現系統內存在為數龐大的問題時，想要再進行補救，就必須花費相當可觀的金錢與時間，而這也正是採用開源所面對的課題。

開源系統開發的兩大軟肋 : 專利與資安

  一直以來，專注於解決開源相關問題的WhiteSource，說明當前企業使用開源軟體時可能面臨的挑戰。根據 WhiteSource亞太及歐洲、非洲與中東地區業務總經理Gal Yaffe表示，一般企業在使用開源軟體時，最容易產生的兩大問題面向，一是專利，二是資安。

  其中，在專利權的部分，Gal Yaffe 指出，因為開源軟體隨著開發時間與版本的不同，在架構內可能有著因為前後版本由不同開發者所開發或修正，因而造成著作權的問題。這部分如果企業沒有謹慎過濾與管理，恐將使得企業面臨法律、商譽，以及技術上的風險。至於，在資訊安全方面，也是因為面臨開源環境原本即是由不同開發者所貢獻，以至於相關資訊安全漏洞的修復與否，有著難以確認與管理的情形，這使得企業在採用開源軟體時，可能遭遇到隱藏的木馬或不知名地雷攻擊的危險。

  而為了解決以上兩大問題點，Gal Yaffe指出，WhiteSource提出的解決方案，除了提供與軟體開發生命周期持續整合之軟體(Continuous Integration Software)工具，進行自動辨識所有開源元件功能外，並且可依照企業所使用的持續性及自動化建構方式，將所使用的元件與WhiteSource 長久以來建立的多個弱點資料庫進行交叉比對，透過覆蓋度廣且精確度高的比對，以求能早期發現風險所在。

由左至右:叡揚資訊 資安經理 郭俐佳、叡揚資訊 資安產品顧問 李佳凌、WhiteSource 通路經理 Elad Tzur、

WhiteSource EMEA暨泛亞太區總經理 Gal Yaffe、叡揚資訊 資訊服務事業群 資深副總 陳志雄、叡揚資訊 資安處長 范家禎