OpenChain項目是由Linux基金會發起的一項旨在制定開源軟件供應鏈標準，幫助全球企業更高效地解決開源許可證一致性的問題。

安勢信息創始人兼總裁薛植元表示："我們很高興在開源生態領域與全球其他成員一起加入OpenChain。從2016年開始，OpenChain一直致力于為市場上不同規模的企業提供可信賴與合規一致的開源供應鏈。安勢信息將攜手OpenChain，在工具、培訓、研究、最佳實踐和咨詢方面，為開源社區做出持續貢獻。開源社區和OpenChain的協作基因也將有助于我們協調和利用業內最佳資源。我們相信，這樣的緊密合作將會讓軟件供應鏈變得更加安全和可靠。"

在混源開發不可避免的同時，一系列的安全和合規風險也伴隨著整個軟件開發生命周期，并影響著整個軟件供應鏈。安勢信息以行業領先的SCA產品作為切入點，圍繞DevSecOps流程，從工具到流程再到組織，堅持持續創新，打造獨具特色的端到端最佳實踐。經過團隊成員多年的持續積累，安勢信息目前已與多家高科技頭部企業建立了深厚的合作關系。

"就人口而言，中國是世界上最大的單一市場，也是全球供應鏈中最重要的一部分，"OpenChain的總經理Shane Coughlan說到："安勢信息代表了圍繞開源的本土企業領先實力的發展。與產品交付能力緊密相關的是，產品的支持與服務流程需要不斷改善。在這個十年的開端，SCA一直是開源供應鏈中重要的組成部分，在未來幾年里，它仍將是至關重要的。"

在隨后OpenChain組織召開的第42期線上研討會上，上海安勢信息技術有限公司（下稱安勢信息）的技術市場總監王峰受邀出席并發表名為《SCA廠商在中國市場面臨的機遇與挑戰》的全英文主題演講。

王峰擁有威斯康星大學麥迪遜分校電子工程學士、賓夕法尼亞大學電子工程碩士學位，曾擔任美國有線電視運營商Comcast高級軟件工程師，負責網絡自動化軟件開發等工作，作為企業內部開源貢獻者（Innersource Contributor）將項目和軟件在企業內部進行分享使用。他在美國工作學習11年，在感受到開源軟件在中國市場的蓬勃發展后，王峰選擇回國并加入安勢信息。

正如王峰在《SCA廠商在中國市場面臨的機遇與挑戰》主題演講中提到的，開源軟件在中國市場經歷了由萌芽到蓬勃發展的階段。

開源軟件在中國的緣起、落地及發展

中國的開源軟件產業相較于歐美發達國家而言起步相對較晚，大致經歷了從萌芽、云計算&人工智能加速落地和高速發展的三個階段。目前，中國已經逐步建立了相對成熟的開源生態系統。

在中國的開源生態領域，由云計算、科技企業孵化、創辦的開源企業/項目和由開發者社區、代碼托管平臺、開源基金會、開源聯盟共同構成了開源軟件市場的參與主體。

中國企業在積極參與全球開源生態建設的過程中，影響力與日俱增。截止目前GitHub有755萬名中國開發者，人數位居全球第二；更多的中國企業進入全球開源領域行業的前列；中國正成為全球開發者社區中不可忽視的重要力量。

此外，在這一時期，中國本土創辦了很多的開源組織和社區，企業積極捐獻開源項目，相關開源基金會的成立，共同推動中國開源產業發展壯大。安勢信息此次加入OpenChain，很榮幸能與中國信通院、華為和OPPO等伙伴共建可信、安全的軟件供應鏈。

開源產業同樣引起了國家層面的高度重視。政府將開源明確列入"十四五"規劃中，并從法律層面明確加強對知識產權的保護。一些因違反開源許可證使用協議（ 例如: GPL 3.0 ) 引發的版權糾紛案也引起了企業對開源許可證合規的重視。

國內的開源生態發展經歷了一個從無都有，再到蓬勃發展過程，對全球開源的貢獻和影響力也會越來越大。

SCA的發展 挑戰與機遇并存

Apache Log4j漏洞事件的爆發，讓開源軟件供應鏈安全的話題熱度持續走高的同時，也為網絡安全市場吹來了新的風向。隨著開源風險的持續擴大，SCA（Software Composition Analysis，軟件成分分析）正在得到更廣泛的應用。

為了在SCA產品需求爆發式增長的市場中搶占高地，應用安全賽道涌現了一大批新的SCA廠商。據統計，中國SCA初創公司的數量較去年增長了1倍，資本也紛紛入局，開源領域的融資案例數量和資金總額不斷創新高。

放眼全球，當前國內企業在軟件安全方面的資金投入僅占全球企業軟件安全平均投入金額的三分之一，中國網絡安全市場的空間巨大。

隨后，王峰分別從政治、經濟、文化和技術四個角度分別闡釋了SCA廠商當前面臨的機遇和挑戰。機遇來自于在國家產業轉型升級的大環境下，政府對開源產業高度重視，相關政策和知識產權法律保護水平都有了顯著提升。

關于SCA廠商面臨的挑戰，王峰分別列舉了本土SCA廠商和海外SCA廠商亟需解決的問題并展開說明。中國開源軟件產業起步相對較晚，相關專業技術人才相對匱乏；另一方面，企業對開源合規的重要性認識還不夠；很多廠商提供的SCA工具往往更多的是基于安全而非合規，對于提供成熟的開源合規治理工具方面仍有很多經驗需要積累

海外SCA廠商在進入中國市場時也同樣面臨挑戰。例如：對本地支持較弱，不能提供二次開發服務，缺少靈活性；而隨著SaaS技術的發展，海外SCA供應商也在逐漸減少對本地化部署的支持，不能滿足部分有本地化部署需求的用戶；或因為一些其他因素對國內客戶斷供，無法為國內企業提供持續可靠的支持。

以上的外部因素和內部因素共同構成了中國SCA廠商面臨的機遇與挑戰。

擁抱開源，攜手OpenChain共建開源生態

作為中國市場領先的軟件供應鏈安全治理工具提供商，安勢信息加入OpenChain組織，將極大地促進開源許可證合規領域的國際標準OpenChain ISO/IEC 5230在中國市場的推廣，并幫助其在企業落地實施。

同時，作為OpenChain的一員，安勢信息將持續對市場輸出建立安全、可靠軟件供應鏈的重要性的理念，不斷提高市場對SCA工具和開源合規的重要性的認識。

安勢信息在高速發展的同時，一直高度重視與開源生態各領域的協作。公司近期也加入了OpenSSF (開源軟件安全基金會)，有幸成為國內第一家加入該基金會的SCA廠商。并放眼全球，與全球領先的國際開源組織和微軟、谷歌、華為等伙伴一起攜手共建安全可靠的開源軟件供應鏈。

以技術為導向，以客戶為中心。安勢信息始終相信市場和客戶才是我們保持創新性和先進性的源泉和基石。"正本清源，不止于安全"，安勢信息將堅持在軟件供應鏈風險治理上持續發力，不斷完善產品和最佳實踐。未來，安勢信息將攜手OpenChain，持續提升市場和企業對SCA關注和投入，更加緊密地擁抱開源。