如今，相比編寫(xiě)代碼，開(kāi)發(fā)人員更可能為他們的應用程序組裝代碼。當然，他們仍會(huì )編寫(xiě)關(guān)鍵的業(yè)務(wù)的代碼。但是，代碼庫中包含多達90％的開(kāi)源或第三方組件，開(kāi)發(fā)人員可將代碼重用于常見(jiàn)功能，節約時(shí)間。有一種可重用的組件類(lèi)型是基于A(yíng)PI的Web服務(wù)，其中許多可免費用于開(kāi)發(fā)基本功能。但是，使用基于A(yíng)PI的Web服務(wù)可能會(huì )產(chǎn)生版權、最終用戶(hù)許可、使用條款以及數據和隱私政策等相關(guān)問(wèn)題。
開(kāi)發(fā)人員經(jīng)常在互聯(lián)網(wǎng)上找到適用于其應用程序的有用API。但是軟件開(kāi)發(fā)公司可能無(wú)法控制甚至不知道開(kāi)發(fā)人員正在使用哪些API。然后，您的公司有一天決定購買(mǎi)該開(kāi)發(fā)公司。您要如何在收購的時(shí)候減少基于A(yíng)PI的Web服務(wù)的相關(guān)風(fēng)險？
減少基于A(yíng)PI的Web服務(wù)的4個(gè)方面的風(fēng)險
當您考慮收購的公司有軟件需要進(jìn)行實(shí)質(zhì)性估值，而且此類(lèi)軟件是基于A(yíng)PI的Web服務(wù)時(shí)，需要注意以下4個(gè)方面：
- 法律和合規風(fēng)險
- API安全風(fēng)險
- 數據隱私風(fēng)險
- 運營(yíng)/業(yè)務(wù)風(fēng)險
1.法律和合規風(fēng)險
基于A(yíng)PI的Web服務(wù)通常伴隨版權問(wèn)題和使用條件，您需要了解這些版權和使用條件。使用條款也可能是復雜且不斷變化的。當使用條款更改時(shí)，用戶(hù)只要是繼續使用基于A(yíng)PI的Web服務(wù)即表示同意新條款。可以說(shuō)，當您購買(mǎi)基于A(yíng)PI的公司許可的Web服務(wù)時(shí)，您還可能繼承了其法律和合規風(fēng)險。
2.API 安全風(fēng)險
基于A(yíng)PI的Web服務(wù)給收購方帶來(lái)了兩個(gè)風(fēng)險：API發(fā)送的數據和接收的數據。發(fā)送的數據可能會(huì )泄漏或被竊聽(tīng)；接收的數據可能包括可執行文件、篡改的圖像、病毒或惡意代碼。而且，無(wú)論是發(fā)送還是接受的數據都可能受到中間人攻擊。
3.數據隱私風(fēng)險
企業(yè)有時(shí)會(huì )將來(lái)自API的數據與從其它來(lái)源獲得的數據區別對待。當涉及到數據隱私時(shí)，所有數據，尤其是個(gè)人身份信息（PII），都需要同樣的保護。作為收購方，您必須對多方面進(jìn)行盡職調查，包括目標應用程序如何處理API數據、如何將其與其它來(lái)源的匿名數據進(jìn)行合并以及在何處（從地理角度而言）將數據發(fā)送至何處、從何處接收、存儲并處理等，還需要審查其是否遵守區域數據隱私法規，例如歐洲的《通用數據保護條例》（GDPR）。
4.運營(yíng)/業(yè)務(wù)風(fēng)險
基于A(yíng)PI的Web服務(wù)是免費的，不提供服務(wù)級別協(xié)議（SLA）。在尋找潛在的收購機會(huì )時(shí)，您需要知道使用免費Web服務(wù)會(huì )帶來(lái)哪些持續的風(fēng)險。如果吊銷(xiāo)了API許可證、不贊成使用API或競爭對手購買(mǎi)了API提供商并限制了直接競爭的訪(fǎng)問(wèn)權限，您最終可能會(huì )遇到業(yè)務(wù)無(wú)法進(jìn)展的問(wèn)題。您必須制定應急計劃，以隨時(shí)應對API出于任何原因變得不可用的情況。
三個(gè)步驟緩解基于A(yíng)PI的Web服務(wù)風(fēng)險
與對開(kāi)源軟件的審查一樣，收購方要降低基于A(yíng)PI的Web服務(wù)風(fēng)險，必須圍繞著(zhù)全面披露和發(fā)現。基本上，需要三個(gè)步驟：
- 識別應用程序中所有基于A(yíng)PI的Web服務(wù)。明確地知道應用了哪些API，提供了哪些數據，它們的關(guān)聯(lián)許可證以及使用了多少和使用頻率。您可以通過(guò)詢(xún)問(wèn)應用程序開(kāi)發(fā)人員來(lái)獲取此信息，或者最好通過(guò)使用API /代碼掃描器對應用程序的API進(jìn)行審核。
- 分析應用程序的API許可證。仔細檢查應用程序的API許可，以確保目標公司正確遵守合同條款。審查在理論上和現實(shí)中使用API是否有不一致之處。另外，請留意應該提供和實(shí)際提供的數據之間存在的任何差異。
- 制定補救計劃。補救計劃應涵蓋不同類(lèi)別的問(wèn)題，包括代碼、法律、冗余和突發(fā)事件、數據隱私和合同風(fēng)險分配等。這將分別涉及由于服務(wù)中斷而更換API、尋求對現有許可證的補充或棄用、準備好API備份、向用戶(hù)群通知收集和傳輸了哪些數據，以及讓目標公司對交易中包含的基于A(yíng)PI的Web服務(wù)提供具有約束力的證明和保證。
