InfoQ
·
2025年伦敦QCon：约翰逊·马修公司的管理开源风险三步蓝图
内容提要
在2025年伦敦QCon大会上，Celine Pypaert提出了管理开源依赖风险的三部分蓝图：识别和优先处理漏洞，使用软件组成分析工具，与安全团队合作，以及将安全修复从被动转为主动，自动化安全任务以提高效率。
关键要点
-
Celine Pypaert在2025年伦敦QCon大会上讨论了管理开源依赖风险的三部分蓝图。
-
开源组件在96%的商业代码库中存在，存在对熟悉软件的错误信任。
-
她提到了一些安全事件，如XZ Utils后门和Left-pad事件，强调了开源依赖的风险。
-
第一部分蓝图是识别和优先处理漏洞，建议使用软件组成分析工具（SCA）进行审计。
-
建议采用结构化的方法来优先处理修复，关注关键和高影响的问题。
-
第二部分是所有权和问责制，开发者应寻求安全团队的帮助，并使用风险登记册引起高层关注。
-
建立风险档案有助于将业务连续性与漏洞管理联系起来，减少技术债务。
-
最后一部分是将安全修复从被动转为主动，倡导自动化安全任务。
-
建议将漏洞检测工具与项目管理工具集成，以减少摩擦并提高效率。
-
Pypaert鼓励与会者开始基本的检测、分配和政策草拟，并考虑使用补偿控制来隐藏漏洞。
延伸解读
开源依赖的普遍性与风险
根据Celine Pypaert的介绍，开源组件在96%的商业代码库中存在，这表明企业在开发中对开源依赖的依赖程度极高。然而，这种普遍性也带来了潜在的安全风险，开发者需要对熟悉的软件保持警惕，避免因错误信任而导致的安全事件。
主动安全管理的重要性
Pypaert强调将安全修复从被动转为主动的重要性，建议企业自动化安全任务，以提高效率。这种转变不仅能减少漏洞被利用的风险，还能使安全管理更为高效，帮助团队在开发过程中更好地融入安全考虑。
风险管理与业务连续性
建立风险档案有助于将技术债务与业务连续性联系起来。Pypaert提到，开发者应与安全团队合作，利用风险登记册引起高层关注，从而更好地管理开源依赖的风险，确保企业在面对潜在安全威胁时能够保持业务的稳定性。
延伸问答
Celine Pypaert在QCon大会上提出了什么管理开源依赖风险的蓝图？
她提出了一个三部分蓝图，包括识别和优先处理漏洞、建立所有权和问责制、以及将安全修复从被动转为主动。
开源组件在商业代码库中的普遍性如何？
开源组件在96%的商业代码库中存在。
Pypaert提到的安全事件有哪些？
她提到的安全事件包括XZ Utils后门和Left-pad事件。
如何优先处理开源依赖中的漏洞？
建议使用软件组成分析工具（SCA）进行审计，并采用结构化的方法优先处理关键和高影响的问题。
Pypaert如何建议建立所有权和问责制？
她建议开发者寻求安全团队的帮助，并使用风险登记册引起高层关注。
Pypaert对自动化安全任务有什么看法？
她强烈倡导尽可能自动化安全任务，以减少摩擦并提高效率。
