中国信通院郭雪：企业如何进行合规风险治理
文字 | 王瑶
校对 | 郭雪
出品 | 开源雨林
2022 中国国际软件发展大会暨第五届中国软件产业年会已于 5 月 10 日正式落下帷幕。本次大会由中国软件行业协会主办，当日下午的开源雨林分论坛以“企业开源合规与实践”为主题，帮助企业理解开源合规，推动国内开源生态的体系建设与数字科技创新。
中国信息通信研究院云大所云计算部副主任郭雪出席本次论坛并作“开源合规指南（企业篇）解读”的主题演讲。从使用开源软件的法律风险、开源许可证、企业如何进行合规风险治理几方面做了详细介绍。
中国信息通信研究院云大所云计算部副主任郭雪
问：使用开源软件还有法律风险？
一、使用开源软件的法律风险
01 版权风险
为什么会造成版权侵权？一是违反开源许可证，开源软件使用者没有按照开源许可证的规定使用开源软件；二是开源软件存在版权瑕疵，贡献者将自己不具有版权的代码贡献到开源社区，使得开源软件本身存在版权瑕疵，从而导致版权侵权。
在一些极端情况下，软件开发商可能需要将包含开源代码的软件产品的全部源代码公开。例如在 2007 年，作为Linux社区成员指责华硕公司没有遵守 GPL 许可证的回应，华硕公司公布了其运行 Linux 操作系统的 Eee PC 的完整源代码，包括 asus_acpi 组件和所有核心数据。对于希望完全掌控软件的企业而言，将全部源代码开源显然是不可接受的，因此，使用开源软件的企业有必要了解开源软件的法律风险。
（1）无论是闭源软件还是开源软件，都受版权法保护
（2）版权保护不需要履行注册手续，自产生之时就自动获得版权
（3）软件的程序及相应的文档，都属于版权保护的对象
02 专利风险
开源软件可能涉及到专利，但并不是所有的许可证都会明确给出专利授予权。如果没有专利授予权，可能会面临专利诉讼风险。
微软公司于 2009 年 2 月起诉导航设备制造公司 TomTom 侵犯其多项专利，该多项专利中有 2 项涉及 FAT 文件系统，包括 TomTom 产品在内的 Linux 内核都在使用该文件系统。该案也是微软公司第一次针对 Linux 发起专利诉讼。2009 年 3 月，TomTom 同意向微软支付一笔专利许可费从而迅速与微软达成了和解。
针对开源软件的专利风险，主要分为外部风险和内部风险。
（1）外部风险：指不受开源软件许可证约束的一方针对开源软件使用者发起的专利请求；
（2）内部风险：开源软件的贡献者针对开源软件使用者发起的专利请求。
03 商标风险
开源许可证一般不包括商标授权，因此随意使用未经授权的商标，侵权风险很大。
有些开源社区会对商标使用进行规定，例如 Apache 基金会对 Apache 软件商标的使用做出详细规定：
（1）可以使用的情况
描述作品来源
复制 NOTICE 文件时保留的商业性标识
书籍或杂志上等学术用途
描述“技术支持“等用途
（2）不可以使用的情况
软件产品的品牌中
域名中
会议或活动的名称中
……
二、开源许可证
在中国及大陆法系国家，开源软件许可证毫无争议的是许可人与被许可人之间的合同。它规定了许可人（软件开发者）和被许可人（用户）的权利和义务，可能涉及版权、专利、商标、担保等一系列权利义务的设置。但正是这些权利和义务，决定了权利人是否将源代码真正地向社会公众开放，从而可以实现是否是开源软件的判断。（开源许可证是个格式合同，不允许更改）
按照软件再发布时对提供源代码的要求，可将许可证分成以下几类：传染性越强，商业友好性越差，版权侵权风险越大。
三、企业如何进行合规风险治理
企业开源合规流程一般包括以下步骤：
（1）识别：辨识开源软件/组件以供审核之用；
（2）审计：扫描源代码并确认源代码的来源出处以及所使用的许可证；
（3）处理问题：处理与审计有关的疑虑以让其与公司的开源软件政策相符合；
（4）审核、批准：开源软件/组件经审核并批准，视同合规纪录；
（5）留存记录：保存每个产品每次发版经过批准的开源组件清单
（6）准备声明：编辑发行所需的各项声明；
（7）验证：验证发行套件的源代码状态，并且验证提供声明文件；
（8）发行：发行源码、相关声明，以及索取源代码的书面文件；
（9）验证：发行后的再次验证。
扫码下载《开源合规指南（企业篇）》报告全文
获取更多内容细节
中国信通院已建立开源产业专家库及开源规则共识。2021 年开展首期可信开源培训，2022 年也组织了两场开源雨林及可信开源的培训，国内上百家金融、运营商产业用户积极参与培训，用户反馈课程体系对于企业内部开源治理开展具有极大指导意义。
后续，中国信通院将把开源雨林的内容与现有可信开源培训课程内容进行融合，统一对外推广，与其他成员单位一起，合力输出更加体系化的课程，帮助企业应对开源挑战，共同推动行业开源生态的建设。
开源雨林围绕开源通识、开源使用、开源贡献三大方面构建知识体系，愿把长期积累的经验系统化分享给企业，在团队、机制、项目三方面提供合作，推动各企业更高效地使用开源、贡献开源，提升全行业开源技术与应用水平。
开源雨林的内容已开源，并托管在 https://github.com/opensource-rainforest ，欢迎通过 Pull Request 的形式贡献内容，通过 Issue 的形式展开讨论，共同维护开源雨林的内容。
往期精彩回顾
刘雪宁：企业如何进行开源合规体系建设
堵俊平：有效的模型不能一味追求“大”，效率和质量才是真正追求的方向
王怀民院士：共建繁荣开源生态体系，为中国软件产业创造欣欣向荣的“开源雨林”！
点这里 ↓↓↓ 记得 关注✔ 标星⭐ 哦~