JR-T 0290-2024 金融业开源软件应用 管理指南

学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载ICS

学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载CCS

11JR

JR/T

0290—2024金融业开源软件应用管理指南Open

source

software

applications

in

financial

guidelines 中国人民银行  

发

布学兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准兔下载学兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准兔下载学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

0290—2024学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载

II

III

10

11

11学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

0290—2024学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载 本文件按照GB/T

1.1—2020《标准化工作导则

第1部分：标准化文件的结构和起草规则》的规定II学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

0290—2024学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载 学兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准兔下载学兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准兔下载学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

0290—2024学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载

GB/T

2020

GB/T

2020

GB/T

2020

JR/T

2024

JR/T

2024

JR/T

0289—2024

风险管理、存量管理和工具化管理等

部分内容，覆盖

个制度要素

个技术管理流程，宜配置

学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载图1

5.1

5.2

5.3

6.1

兔ｗｗｗ学兔．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

0290—2024兔ｗｗｗ学兔．ｂｚｆｘｗ．ｃｏｍ标准下载6.2

7.1

图2

7.2

0291—2024

学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载图3

7.3

b）依据开源软件使用情况建立台账，实时记录开源软件的使用版本、使用部门、系统名称、联系

7.4

兔ｗｗｗ．ｂ学兔ｚｆｘｗ．ｃｏｍ标准下载JR/T

0290—2024兔ｗｗｗ．ｂ学兔ｚｆｘｗ．ｃｏｍ标准下载快速采取措施并及时处置，避免造成安全合规等方面问题，开源软件持续评估流程如图5所示。评估内

30276—2020、GB/T

30279—2020

b）版本评估：以开源基础软件为主，定期评估是否存在版本过低、更新频次过低等问题，对于需图5

7.5

JR/T

0291—2024

．ｂ学兔兔ｗｗｗｚｆｘｗ．ｃｏｍ标准下载JR/T

．ｂ学兔兔ｗｗｗｚｆｘｗ．ｃｏｍ标准下载

b）更换机制：

图6

8.1

8.2

学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

0290—2024学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载8.3

8.4

b）若存在法律风险，例如出现开源许可证兼容性问题，若难以采取其他可替代软件、隔离等有效8.5

b）识别、记录开源软件，对开源软件的版本号、开源许可证、官方网站地址或可信下载源、制品d）监控和全面排查存在风险的存量开源软件，参考GB/T

2020记录安全漏洞情况，与责任10

a）有相应人员负责开源软件管理工作，有较为清晰的职b）外部法务人员兼任开源法务咨询工作。兔ｗｗｗ．ｂ学兔ｚｆｘｗ．ｃｏｍ标准下载JR/T

兔ｗｗｗ．ｂ学兔ｚｆｘｗ．ｃｏｍ标准下载员反馈问题。——流程管理：通过平台实现开源软件全流程线上化、自动化管理。——安全漏洞跟踪：通过定期扫描开源软件代码，查看是否存在中高危安全漏洞。11

11.1 b）提升级：形成明确的架构分工和完善的管理流程制度，对开源软件进行流程化管理。11.2

表1

表1

b）实现线上处理相关工作，及时向相关人员反馈，a）从多个维度对开源软件进行评估。b）形成开源软件清单，对拟引入的开源软件进行统b）构建制品仓库，对开源软件的来源进行控制和管a）对开源软件的版本、开源许可证和安全漏洞进行b）对安全漏洞信息进行监控、记录，形成安全漏洞a）制定开源软件退出机制，明确开源软件退出或废b）退出后有具体后续操作要求。a）可利用工具实现自动记录开源软件的使用情况，b）通过平台，对开源软件进行分类分级管理。c）对制品仓库进行管控，定期进行统计和更新。d）定期组织开源软件的技术交流和培训。a）通过工具定期自动化扫描开源软件漏洞、开源许b）自动通过开源社区、代码托管平台等渠道获取相ｚｆ．ｂｗｗｗ兔学兔ｘｗ．ｃｏｍ标准下载JR/T

0290—2024ｚｆ．ｂｗｗｗ兔学兔ｘｗ．ｃｏｍ标准下载表1

表1

a）建立开源软件风险管理机制，实现对各类风险点进行b）建立流程化风险控制机制，可进行全面的风险识别，a）通过平台，对开源软件风险进行实时监测、信息记录b）建立敏捷沟通途径，发现风险时做到及时和相关人员c）针对开源许可证等相关风险，通过系统提示，快速采ｚｆ．ｂ学兔兔ｗｗｗｘｗ．ｃｏｍ标准下载JR/T

ｚｆ．ｂ学兔兔ｗｗｗｘｗ．ｃｏｍ标准下载表1

表1

学兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ标准下载JR/T

0