浅谈敏捷开发模式下银行业金融机构开源软件引入风险及管控举措

随着电子商务在我国的蓬勃发展，互联网企业积累了海量的用户数据，逐渐掌握了用户金融服务的需求和偏好，并将其提供的金融服务由最初的简单支付渗透转账汇款，小额贷款，现金管理，资产管理、供应链金融、代销基金和保险等传统商业银行的业务领域。这就不可避免的与商业银行在市场占有，客户规模，利润空间等多领域构成竞争。为了更好的提升客户服务质量，传统商业银行近年来在服务方式，支付方式，平台模式，服务渠道等积极拥抱互联网，加快加速转变，合理的把传统的金融构架与互联网的组织构架进行有机的融合，建立了一个互联网金融商业银行专属的战略系统，形成了商业银行自己独特的互联网架构，并在大数据，云计算，人工智能领域大胆尝试和创新。而大多数现代智能技术多以开源架构为蓝本，在银行业金融机构这一重要而又相对封闭的行业中大量引入开源软件，使用开源技术，必然会引入新的风险点。对开源架构、技术及其工作特性的不了解，不正确使用而与银行传统网络或系统架构产生冲突造成的安全事件在过去的几年里时有发生。监管机构也多次发出风险预警，要求各银行机构排查开源技术使用情况。

为此，在敏捷开发模式下，如何在快速开发和开发风险控制二者间取得很好的平衡点是摆在商业银行开发者和安全管理部门面前的一道难题。

不管是直接使用开源技术，还是购买开源技术的商业软件都需要考虑开源技术带来的风险，只不过是规避开源技术风险的责任主体不同。 金融机构在使用或引入开源软件或代码时，除了需要考虑开源或许可证兼容风险、违约或其他法律风险、以及数据安全或隐私风险这些开源软件本身所带来的风险外，还要考虑监管合规风险等行业特定风险。

监管合规风险是金融行业比较特殊的一类风险，如果监管合规风险关把控不严格，出现监管违规，有可能不只是之前的努力付之一炬，可能还会给企业带来更严重的后果，如评分降级，经营受限等等。例如人民银行明确规定，对于创新技术在支付领域的首次应用，跨境合作，社会关注度较高等重要支付创新项目，必须在系统或项目上线前30日内向人民银行备案。

开源软件管理规定中明确商业银行哪一类系统可以使用开源软件，并明确采用开源软件后，应按照软件全生命周期进行跟踪和管理。

在三级文档中明确开源软件管理规定中具体的每一个阶段应该做什么的问题。以开源软件引入为例，在引入管理办法中应明确开源软件引入时要进行开源项目评价，并明确可以引入的标准，对于达不到标准的开源项目拒绝引入。从而在引入阶段把控风险。同时还需要指出在技术层面要进行代码的安全性和可靠性测试等内容。

在四级文档中规定具体的做法和操作手册，保证管理办法中的要求可以得到正确的执行。如开源项目评估，操作手册中应明确规定评估的内容和方法，包括但不限于开源协议理解，版权及法律风险评估，开源项目活跃度评价[注1]，开源项目成熟度评估[注2]等内容。

[1] 降磊, “互联网金融时代的商业银行发展模式研究,” 《西南交通大学》, 2013. 

[2] 张庆, “互联网金融时代的商业银行发展模式研究,” 《现代经济信息》, pp. 55-55, 2015. 

[3] 中国信息通信研究院, “开源治理白皮书,” 2018-04.

[4] https://snyk.io/stateofossecurity/#the-open-source-landscape.

[5]http://www.ruanyifeng.com/blog/Cc-By-3.0/.

[6] http://www.qsos.org/ .

[7] http://www.openbrr.org/ .