面對新技術，無法逃避，只有先行和后行，沒有不執行。本文來自社區文章《論述金融機構使用開源軟件的潛在風險》及對該文的評論交流，由社區同行分享，也歡迎大家參與探討。
@朱向東 中原銀行 高級工程師：
當今金融行業廣泛采用了開源軟件，以提高生產效率和降低成本。然而，在金融機構生產環境中使用開源軟件也面臨許多潛在的風險問題。這些問題包括安全風險、法律風險、操作風險、維護風險和依賴風險。
首先，由于開源軟件的源代碼是公開的，黑客可以輕易地找到其中的漏洞和安全漏洞，從而對系統進行攻擊和入侵，導致安全風險。
其次，開源軟件往往有許多不同的許可證，如果金融機構不了解這些許可證的細節，很可能會侵犯版權或者使用不當，從而面臨法律訴訟的風險。
此外，開源軟件的使用需要技術人員進行定制和配置，如果金融機構沒有足夠的技術能力和經驗，很可能會出現配置不當、操作錯誤等風險，導致系統崩潰、數據丟失等問題，從而產生操作風險。同時，開源軟件的維護需要技術人員進行，如果這些人員離職或者轉崗，而新的技術人員沒有足夠的經驗和能力來維護這些系統，金融機構就會面臨無法維護的風險。
最后，開源軟件往往有很多依賴關系，如果其中一個依賴關系出現問題，整個系統都會受到影響，導致依賴風險。因此，金融機構需要仔細考慮這些依賴關系，并采取相應的措施來降低依賴風險。
綜上所述，金融機構在生產環境中使用開源軟件，雖然能夠降低成本和提高效率，但也存在潛在的風險問題。其中，安全風險是最為突出的問題，因為開源軟件源代碼公開，容易被黑客攻擊和入侵。此外，開源軟件許可證的多樣性也可能導致金融機構侵犯版權或使用不當，面臨法律風險。操作風險、維護風險、依賴風險也都是潛在的問題，需要金融機構采取相應的措施來降低這些風險的影響。因此，金融機構必須充分認識和評估開源軟件在生產環境中的風險問題，建立完善的安全策略、培訓技術人員、建立有效的維護機制等，才能更好地利用開源軟件的優勢。
@jason2006xu 昆侖銀行：
金融機構使用開源軟件的潛在風險主要包括以下幾個方面：
1. 安全風險：開源軟件的代碼是公開的，這意味著黑客可以更容易地找到漏洞和安全漏洞。如果金融機構使用的開源軟件存在安全漏洞，黑客可以利用這些漏洞來攻擊金融機構的系統，導致數據泄露、資金損失等問題。
2. 法律風險：開源軟件通常使用開源許可證，這些許可證可能會對金融機構的業務產生影響。例如，某些開源許可證可能要求金融機構公開其使用的軟件的源代碼，這可能會泄露機構的商業機密。
3. 維護風險：開源軟件通常由社區維護，而不是由專業的軟件開發公司維護。這意味著金融機構可能無法獲得及時的技術支持和維護服務，這可能會導致軟件出現問題或無法正常運行。
4. 兼容性風險：金融機構使用的開源軟件可能與其現有的系統和軟件不兼容，這可能會導致數據丟失、系統崩潰等問題。
綜上所述，金融機構使用開源軟件需要謹慎，需要對開源軟件進行充分的安全評估和風險評估，以確保其安全性和穩定性。同時，金融機構需要遵守開源軟件的許可證要求，以避免法律風險。
@jillme jollytech：
使用開源軟件是未來一段長時間可見的必然的方向，只有先行和后行，沒有不執行的。科技領域的沖突日益加劇，國產化的應用比例的提升，在沒有辦法全部軟件國產化之前，開源是一項必經之路。
但是開源也有很多的問題，需要在應用中重視：開源版本的兼容性，新版本不再支持舊版本。開源中存在的系統漏洞需要人工發現和維護。此外使用開源軟件也需要進行事先評估，將風險降低到最小。還有我理解的是開源軟件使用，采用小步快跑的模式，先使用不重要的系統，再使用重要的系統。還有在使用開源軟件的同時，也需要培養能夠修改的人員或者有多個選擇替代品，做到開源閉源后，依舊可以使用。
@lych370 系統運維工程師：
凡事都具有兩面性，船可載舟亦可覆舟，開源軟件既是風險也是挑戰，面對當前金融行業的降本增效大潮，擺脫國外軟件的依賴，伴隨著去IOE的大潮，開源軟件必然是一種趨勢和嘗試，如何去權衡風險和收益顯得尤為重要，
針對文章中提到的觀點進行補充，開源軟件最大的問題是不確定性和缺少售后支持，如果有強大的技術團隊的話可以考慮二次開發，利用開源軟件的優勢開發符合自己的產品，同時通過開發掌握產品的風險和問題，進行優化。另外既然不確定，那么初始階段金融企業完全可以選擇一些不是很重要的或者內部使用的系統進行嘗試，等用過一段時間穩定后再考慮應用在其他系統上，達到循序漸進的效果。
我們每天總會面對新的技術，無法總是逃避。
@myciciy 某金融科技公司：
《中國人民銀行辦公廳 中央網絡安全和信息化委員會辦公室秘書局 工業和信息化部辦公廳 中國銀行保險監督管理委員會辦公廳 中國證券監督管理委員會辦公廳關于規范金融業開源技術應用與發展的意見 》關于開源技術使用的內容很全面且具體，很值得參考：
二、金融機構在使用開源技術時應遵循以下原則：
（一）堅持安全可控。金融機構應當把保障信息系統安全作為使用開源技術的底線，認真開展事前技術評估和安全評估，堵塞安全漏洞，切實保證技術可持續和供應鏈安全，提升信息系統業務連續性水平。
（二）堅持合規使用。金融機構應當遵循開源技術相關法律和許可要求，合規使用開源技術，明確開源技術的使用范圍和使用的權利與義務，保障開源技術作者或權利人的合法權益。
（三）堅持問題導向。鼓勵金融機構有針對性地選擇和使用開源技術，建立開源技術使用問題發現、反饋、解決等閉環機制，推動開源技術不斷迭代升級。
（四）堅持開放創新。鼓勵金融機構重視開源技術應用與發展，積極參與國際國內開源技術社區建設，汲取先進技術，貢獻中國智慧，培育適合金融場景的開源產業鏈，提升開源技術話語權。
三、金融機構可以將開源技術應用納入自身信息化發展規劃，明確開源技術應用目標，制定開源技術應用工作方案并組織實施。
四、鼓勵金融機構加強對開源技術應用的組織管理和統籌協調，成立由科技、法務、采購等部門組成的開源技術應用協調機制，負責開源技術評估、選擇、應用等工作，協調解決應用中遇到的困難和問題。
五、鼓勵金融機構建立健全開源技術應用管理制度體系，規范開源技術的引入審批、技術評估、合規使用、漏洞檢測、更新維護、應急處置、停用退出等行為。
六、金融機構可以根據金融業務場景，選擇適宜的技術路線，制定合理的開源技術應用策略，包括獨立完成開源技術應用及運維、引入第三方機構的開源技術支持服務、采購開源技術提供商的商業軟件版本及服務等。
七、金融機構可以根據開源技術使用情況，建立開源技術應用臺賬，及時掌握開源許可證變更、漏洞、閉源、停服等變化情況，實行常態化管理，規避風險。
八、鼓勵金融機構將開源技術應用作為提高核心技術自主可控能力的重要手段，加強開源技術研究儲備，掌握開源技術核心，以應用促提升，依托金融業豐富的業務場景促進開源技術迭代升級。
九、推動金融機構建立健全對開源技術基本功能、性能指標、安全性、社區成熟度、商業支持度、行業認可度等方面的評估體系，對開源技術引入、使用、更新、退出等環節開展定期評估，在提升自身評估能力的同時，可結合實際引入第三方評估服務。
十、支持金融機構對開源技術版權、專利、商標、聲明等進行事前合規審查，通過審查開源許可證遵從性和兼容性、梳理開源技術間依賴性等，避免法律糾紛。可根據需要引入第三方合規審查服務。
十一、支持金融機構制定應急處置預案，應對開源技術潛在漏洞、后門及閉源、停服等突發情況。通過規劃備選方案、限制使用場景、儲備核心技術人才等措施降低風險。及時更新應急處置預案，定期開展演練，保證應急處置預案的有效性。
十二、支持金融機構加強開源技術供應鏈管理，保障開源技術產品和服務質量，通過合同或協議條款，明確開源技術提供商義務和責任，并要求開源技術提供商對其提供的開源技術進行技術評估、合規審查等。
十三、鼓勵金融機構積極參與開源生態建設，依法合規分享開源技術應用經驗，共享開源技術研究成果。通過主動開源、貢獻代碼解決行業共性問題，提升開源技術整體應用水平。鼓勵金融機構之間開展開源項目合作，實現優勢互補、互利共贏、共同發展。
十四、鼓勵金融機構與科技企業、高等院校、科研院所、中介服務等機構加強交流合作，基于市場化原則開展開源技術聯合研發和運營，加強開源技術人才培養，推進開源技術迭代升級，促進開源技術成果轉化。
十五、支持金融機構加入合法合規的開源社區、開源基金會等開源社會組織，參與開源技術規劃設計、研發決策、社區運營等活動。開源社會組織發揮自律作用，研究出臺自律公約，規范開源技術參與機構行為，保障開源技術貢獻者合法權益。發揮橋梁紐帶作用，建立穩定、高效的交流分享機制，定期開展開源技術交流、產金對接、應用推廣等活動。
十六、鼓勵開源技術提供商加快提升技術創新能力，切實掌握開源技術核心代碼，形成自主知識產權，夯實產業支撐能力。在提供基于開源技術的商業軟件或服務時，遵循開源許可協議和相關法律法規要求，明確開源技術的使用范圍和使用的權利與義務，保障用戶合法權益。探索自主開源生態，重點在操作系統、數據庫、中間件等基礎軟件領域和云計算、大數據、人工智能、區塊鏈等新興技術領域加快生態建設，利用開源模式加速推動信息技術創新發展。
