12月19日，由中国通信标准化协会主办，中国信息通信研究院（以下简称“中国信通院”）承办的“2024开源和软件安全沙龙”在京举行。

本届沙龙聚焦开源和软件供应链最新发展趋势，围绕开源技术应用能力、软件供应链安全风险、开源体系建设实践等议题开展深入探讨，全面展示中国信通院在开源及软件安全领域的研究、探索与实践。中国通信标准化协会副理事长兼秘书长代晓慧、中国信通院云计算与大数据研究所副所长栗蔚出席会议并发表致辞。

代晓慧在致辞中表示，开源有力激发科技创新突破，构建产业发展新格局，全面助力数字社会发展。对于开源和软件安全产业发展，代晓慧提出了三点希望：一是构建更为完善的开源和软件安全标准体系，推动关键技术场景的标准预研和储备。二是增强产业互联协同发展，实现优势互补和资源整合。三是推动标准在产业链和供应链中的深度应用，助力产业链、供应链整体的数字化转型，为产业高质量发展奠定基础。

栗蔚表示，在开源优化软件生产模式、提升软件交付效率的同时，软件供应链复杂度不断提升，软件安全问题日益凸显。国内开源呈现三方面态势：一是开源产业高速发展，开源项目数量已达3000万个，我国在前端、人工智能、云计算等新兴技术领域全球占比较高；二是开源安全问题凸显，威胁软件产品可用性和安全性；三是以开源为切入点，开展软件安全治理成为业界常态。

长期以来，中国信通院立足于“国家高端专业智库，产业创新发展平台”的定位，在开源软件供应链安全、云安全等领域开展了大量研究工作，积累了一定研究成果。作为沙龙的核心环节之一，中国信通院云计算与大数据研究所（后简称“云大所”）从开源、软件安全、云安全等维度展开，发布最新一批可信开源&可信安全系列评估结果。

随着开源已成为全球企业的流行趋势，企业应用开源程度稳步提升，但对开源的规范和管理仍亟需提升。开源办公室（OSPO）通过管理企业开源的相关活动，成为企业管理开源的主要手段。中国信通院云大所开源和软件安全部主任 郭雪 解读《2024年开源办公室（OSPO）洞察报告》，全面阐述全球与我国OSPO的发展现状和趋势，为推动我国企业OSPO迈向新发展阶段提供实践参考。

目前，越来越多的企业意识到维护软件供应链安全的重要性，并在相关技术、工具和实践等多方面进行探索。中国信通院云大所开源和软件安全部高级业务主管吴江伟解读《软件供应链安全发展洞察报告（2024）》，深度介绍了软件供应链安全全球发展现状和从供需双方视角出发的安全治理体系，为企业落地建设软件供应链安全治理体系提供参考。

随着我国零信任能力生态逐渐成熟，用户更加认可零信任的核心价值，零信任的行业应用不断深化。中国信通院云大所自2021年起，年度对我国零信任发展态势进行洞察。本次沙龙上，中国信通院云大所开源和软件安全部高级业务主管 吴倩琳，基于2024年对零信任供应侧与应用侧企业的调研+访谈结果，从零信任发展呈现的趋势展开，对我国零信任供应生态和零信任应用情况进行洞察。

随着云计算架构的深化应用，企业内部API规模持续扩大，跨组织API调用日益频繁，API治理已成为数字化转型过程中一个不可回避的关键议题。中国信通院云大所开源和软件安全部高级业务主管 马铭洋解读《API治理应用态势发展报告（2024）》。为深入把握API治理技术的发展态势，探索API全生命周期管理的最佳实践，报告系统梳理了当前API治理的技术现状和市场格局，深入分析API治理的关键挑战与实施路径，全面总结了API治理在各个行业的典型应用场景，以探讨数字转型下API体系发展的新趋势。

中国信通院云大所开源和软件安全部高级业务主管 贾明川围绕《地方开源体系建设实践洞察与路径模式》进行分享与解读，通过总结各地建设经验的基础上，初步研究形成地方政府开源体系建设方法论，对开源发展的着力点、路径模式进行了分析阐明。

云上数据安全作为云安全的核心关注点之一，是企业保障数据资产、业务连续性与合规性的基础。基于云安全责任共担模型，将云上安全责任细化至数据层面，提出云上数据安全责任共担体系，明确云服务客户与云服务商在云上数据安全方面的责任，华为云计算技术有限公司云安全治理总监邹丰对企业云上数据安全建设之道进行了全面的解析。

为了引导软件安全技术向好发展，中国信通院启动了典型案例征集活动，本次案例共设置了软件供应链治理、零信任、安全大模型三个专题，遴选出一批成熟度高、具有示范作用的典型安全案例。此次沙龙上，中国信通院公布了2024下半年软件物料清单（SBOM）专题典型案例、零信任专题典型案例、安全大模型典型案例，通过树立行业标杆案例，进一步推动网络安全技术走深向实发展。

中国信通院整合行业龙头企业的专业力量，开展供应侧与应用侧双侧需求调研与技术研究、推动行业相关标准落地、开展测试评估，搭建合作桥梁，引领软件供应链安全和零信任产业健康有序发展。此次为中国信通院云计算开源产业联盟3S-Lab软件供应链安全实验室与零信任实验室新一批成员单位举行授牌仪式。

网络安全保险作为新兴的风险转移工具聚合产业各方力量，借助网络安全企业、第三方检验检测机构的风险管理、数据分析等技术能力赋能保险公司，提供事前、事中、事后关键环节的风险保障，通过损失补偿为企业缓解和转移网络安全风险。为进一步助力网络安全保险保前风险评估规范化发展，中国信通院开展《网络安全保险风险评估规范》标准应用工程，推广应用网络安全保险风险评估标准模型及平台，鼓励网络安全保险生态各方通过该标准开展保前风险评估工作，助力网络安全保险行业健康发展。

本次沙龙通过发布多项开源及软件安全成果，进行深具实践价值的精彩分享，为开源及软件安全行业高质量发展带来更多启迪和思考。未来，中国信通院将继续与产业各方开展更加紧密的合作，通过制定相关标准、举办行业论坛等，推动开源及软件安全、有序、健康发展，推进千行百业数字化转型，助力数字中国建设。