開源

開源（Open Source）是一種軟體開發與散佈模式，其核心精神是軟體原始碼對所有人開放，允許使用者自由地使用、研究、修改和散佈。此概念源於1980年代的自由軟體運動，並由「開放原始碼促進會」（OSI）正式定義。在企業風險管理體系中，開源軟體是軟體供應鏈風險管理（SSCRM）的核心要素。雖然開源能降低開發成本、加速產品上市，但其風險不容忽視，主要包含：一、授權合規風險，如GPL等「傳染性」授權可能要求企業公開自有專利程式碼；二、安全漏洞風險，公開的程式碼可能遭駭客利用，且維護責任不明確。國際標準ISO/IEC 5230（OpenChain）即為管理開源授權合規的關鍵框架，而NIST SP 800-218則指導企業如何建立安全的軟體開發流程，包含對開源元件的嚴格管控。它與商業閉源軟體的主要區別在於原始碼的可及性與授權的彈性，但也因此帶來獨特的治理挑戰。

企業可透過結構化方法將開源風險管理整合至整體風險管理框架（ERM）。具體步驟如下：第一步，建立軟體物料清單（SBOM），利用軟體組成分析（SCA）工具自動掃描應用程式，全面盤點所有使用的開源元件、版本及授權類型，此為NIST安全軟體開發框架（SSDF）的基礎要求。第二步，進行風險評估與政策制定，根據SBOM分析已知漏洞（CVEs）的嚴重性與授權的合規性，建立企業可接受的開源使用政策。第三步，整合持續監控與應變機制，將SCA工具整合至持續整合/持續部署（CI/CD）流程，自動阻擋不合規的程式碼提交，並建立漏洞通報應變程序。台灣某金融機構導入此流程後，成功將重大漏洞的平均修復時間（MTTR）縮短60%，並確保100%通過金管會對軟體供應鏈安全的稽核要求，顯著提升其資安韌性。

台灣企業導入開源風險管理時，主要面臨三大挑戰。首先是「法規認知與治理文化落差」，許多企業對開源授權的法律風險（如GPL的傳染效應）認知不足，且開發團隊普遍缺乏「安全左移」（Shift-Left Security）的文化。其次是「資源與專業人才不足」，缺乏預算導入商業級軟體組成分析（SCA）工具，亦缺少能解讀掃描結果並推動修復的資安與法務人才。第三是「供應鏈可視性低」，難以追蹤由委外廠商引入的開源元件風險。對策上，企業應優先「建立治理政策與強化教育訓練」（預計1-3個月），接著可「分階段導入自動化工具」（預計3-6個月），從開源工具開始，最後應「強化供應商合約要求」（長期持續），強制要求供應商提供SBOM，將風險管理責任延伸至整個供應鏈。