概述
奧林巴斯軟件技術(shù)公司（O-Soft）是奧林巴斯公司的一個(gè)部門(mén)，為各種奧林巴斯產(chǎn)品開(kāi)發(fā)軟件，包括醫療和工業(yè)設備以及數碼相機軟件。該公司的使命是通過(guò)加強軟件開(kāi)發(fā)來(lái)提升奧林巴斯產(chǎn)品的價(jià)值。
O-Soft軟件戰略辦公室首席工程師Nobuko Hattori 指出：“嵌入式軟件正在成為我們產(chǎn)品中更重要的元素。軟件越來(lái)越多地控制產(chǎn)品功能、質(zhì)量和可用性。”
O-Soft開(kāi)發(fā)人員使用多種類(lèi)軟件，包括專(zhuān)有軟件和開(kāi)源軟件（OSS），這也給治理帶來(lái)挑戰，尤其是與OSS許可相關(guān)的問(wèn)題。
挑戰：獲得在公司范圍使用開(kāi)源的政策支持
O-Soft高管采取積極主動(dòng)的方法來(lái)解決OSS治理挑戰。他們意識到，更好地了解公司軟件代碼庫的元素至關(guān)重要。雖然他們了解開(kāi)發(fā)人員使用開(kāi)源組件的好處，但他們也知道這也會(huì )帶來(lái)治理難題。他們的目標是開(kāi)源代碼管理自動(dòng)化，從開(kāi)始使用開(kāi)源代碼，到整個(gè)開(kāi)發(fā)過(guò)程以及在供應鏈中。這將有助于公司能夠系統地控制開(kāi)源成功地集成到軟件的開(kāi)發(fā)和部署中。
實(shí)現這種自動(dòng)化水平使公司能夠避免無(wú)意中發(fā)送包含未知OSS代碼的產(chǎn)品，同時(shí)避免許可違規帶來(lái)的潛在法律風(fēng)險。考慮到這一點(diǎn)，該部門(mén)著(zhù)手制定一項合規政策，以便在母公司以及分部?jì)炔繉?shí)施。
首先，他們建立了一個(gè)OSS委員會(huì )，研究和制定全面的開(kāi)源合規管理政策。該委員會(huì )由奧林巴斯質(zhì)量與環(huán)境部門(mén)領(lǐng)導，其成員包括法律、知識產(chǎn)權、IT和研發(fā)部門(mén)的代表。每個(gè)業(yè)務(wù)部門(mén)的軟件開(kāi)發(fā)人員也參與了制定政策的工作。 Nobuko Hattori致力于提高OSS許可證使用和重用的合規性，而無(wú)需對產(chǎn)品團隊的各個(gè)軟件開(kāi)發(fā)流程進(jìn)行大幅更改。風(fēng)險等級因產(chǎn)品而異，因此OSS委員會(huì )制定了單獨的OSS使用指南，以應用于每種產(chǎn)品。
委員會(huì )面臨的一個(gè)挑戰是確保開(kāi)發(fā)人員和其他員工遵守新準則。他們還必須確定如何將公司政策整合到各個(gè)產(chǎn)品組的開(kāi)發(fā)流程中、為代碼掃描選擇可靠的工具和解決方案，并持續使用OSS實(shí)現敏捷軟件開(kāi)發(fā)。
O-Soft技術(shù)開(kāi)發(fā)部門(mén)的部門(mén)經(jīng)理和技術(shù)官員Koji Asari解釋道：“我們很快就會(huì )明白，整個(gè)公司都需要積極推動(dòng)政策合規性。”
Koji Asari補充說(shuō)：“即使我們制定了官方政策，很明顯我們仍然需要讓所有利益相關(guān)者了解軟件開(kāi)發(fā)中OSS許可證合規性的重要性。但并非所有這些利益相關(guān)者都是軟件專(zhuān)家，他們不一定了解OSS。讓利益相關(guān)者了解這些問(wèn)題需要花費大量精力和時(shí)間。”
自動(dòng)化工具簡(jiǎn)化了OSS治理，促進(jìn)政策實(shí)施
作為新的OSS使用政策的一部分，O-Soft官員部署了Black Duck解決方案進(jìn)行開(kāi)源合規管理。Black Duck軟件公司隸屬于新思科技。
使用Black Duck Hub可以開(kāi)展下述工作：
- 確定正在使用中的特定開(kāi)源組件以及依賴(lài)關(guān)系
- 自動(dòng)將已知漏洞映射到正在使用的開(kāi)源軟件中
- 評估安全風(fēng)險并對漏洞進(jìn)行分類(lèi)
- 落實(shí)安全性及許可證政策，管理風(fēng)險敞口
- 安排和跟蹤修復措施
- 識別開(kāi)源許可證并跟蹤社區活動(dòng)
Nobuko Hattori解釋說(shuō)：“Black Duck在業(yè)界享有盛譽(yù)。由于公司必須處理的代碼量很龐大，我們需要一個(gè)自動(dòng)化解決方案。”
Black Duck通過(guò)與其它現有開(kāi)發(fā)工具集成，自動(dòng)掃描，發(fā)現并識別軟件代碼的來(lái)源。從Black Duck掃描中獲得的有價(jià)值的信息可以幫助委員會(huì )從公司利益相關(guān)者那里獲得支持。
她補充道：“委員會(huì )的部分成員成為了積極的倡導者，在他們的支持下，我們在推動(dòng)開(kāi)發(fā)人員采用新政策方面取得了關(guān)鍵進(jìn)展。”
她說(shuō)：“我們有很多海外子公司，因此很難知道軟件的開(kāi)發(fā)地點(diǎn)以及是否包含OSS。得益于Black Duck解決方案，我們可以更輕松判斷出使用非預期OSS的位置。許可證侵權的風(fēng)險已大幅降低。”
現在O-Soft的產(chǎn)品在交付前都需要進(jìn)行Black Duck掃描。
知識共享方式可確保開(kāi)發(fā)人員了解使用策略
每個(gè)產(chǎn)品系列中的軟件開(kāi)發(fā)都遵循不同的標準。因此，每個(gè)組的OSS使用指南是定制的，以反映這些標準要求，例如任命一個(gè)人負責OSS監督，檢查外包軟件是否存在非預期的OSS等。為了便于在內部共享這些標準，O-Soft創(chuàng )建了一個(gè)名為OSS Knowledge Site的企業(yè)知識數據庫。該站點(diǎn)包括用于OSS使用指南內部教育的報告格式、指南、模板和材料。
OSS Knowledge Site企業(yè)知識數據庫允許奧林巴斯的開(kāi)發(fā)人員訪(fǎng)問(wèn)，提供有關(guān)企業(yè)OSS使用的許可信息、用例和解決方案信息。該公司還提供培訓材料，以促進(jìn)海外子公司采用新政策。
培訓和教育是促成合規的關(guān)鍵
O-Soft對開(kāi)發(fā)OSS使用策略的公司的建議是從小規模開(kāi)始著(zhù)手，再逐步擴展整個(gè)公司的合規性。Koji Asari和Nobuko Hattori提出，培訓和教育也很關(guān)鍵。
Nobuko Hattori總結道：“理解每個(gè)團隊的職能并采取切實(shí)的方法非常重要。例如，銷(xiāo)售人員和不熟悉軟件的人可能甚至不知道開(kāi)源是什么，因此必須對其進(jìn)行解釋。同樣重要的是不要只是強調風(fēng)險，因為這可能會(huì )阻礙OSS的使用。雖然開(kāi)發(fā)人員的支持至關(guān)重要，但如果還可以將市場(chǎng)營(yíng)銷(xiāo)、銷(xiāo)售和呼叫中心代理的工作人員都納入培訓活動(dòng)，這可以推動(dòng)OSS治理。”
