2025年伦敦QCon：约翰逊·马修公司的管理开源风险三步蓝图
原文英文，约700词，阅读约需3分钟。
📝
内容提要
在2025年伦敦QCon大会上，Celine Pypaert提出了管理开源依赖风险的三部分蓝图：识别和优先处理漏洞，使用软件组成分析工具，与安全团队合作，以及将安全修复从被动转为主动，自动化安全任务以提高效率。
🔎
延伸解读
开源依赖的普遍性与风险
根据Celine Pypaert的介绍，开源组件在96%的商业代码库中存在，这表明企业在开发中对开源依赖的依赖程度极高。然而，这种普遍性也带来了潜在的安全风险，开发者需要对熟悉的软件保持警惕，避免因错误信任而导致的安全事件。
主动安全管理的重要性
Pypaert强调将安全修复从被动转为主动的重要性，建议企业自动化安全任务，以提高效率。这种转变不仅能减少漏洞被利用的风险，还能使安全管理更为高效，帮助团队在开发过程中更好地融入安全考虑。
风险管理与业务连续性
建立风险档案有助于将技术债务与业务连续性联系起来。Pypaert提到，开发者应与安全团队合作，利用风险登记册引起高层关注，从而更好地管理开源依赖的风险，确保企业在面对潜在安全威胁时能够保持业务的稳定性。
❓
Q&A
Celine Pypaert在QCon大会上提出了什么管理开源依赖风险的蓝图？
她提出了一个三部分蓝图，包括识别和优先处理漏洞、建立所有权和问责制、以及将安全修复从被动转为主动。
开源组件在商业代码库中的普遍性如何？
开源组件在96%的商业代码库中存在。
Pypaert提到的安全事件有哪些？
她提到的安全事件包括XZ Utils后门和Left-pad事件。
如何优先处理开源依赖中的漏洞？
建议使用软件组成分析工具（SCA）进行审计，并采用结构化的方法优先处理关键和高影响的问题。
Pypaert如何建议建立所有权和问责制？
她建议开发者寻求安全团队的帮助，并使用风险登记册引起高层关注。
Pypaert对自动化安全任务有什么看法？
她强烈倡导尽可能自动化安全任务，以减少摩擦并提高效率。
🏷️
