1月15日，人民银行发布金融行业标准《金融业开源软件应用评估规范》（JR/T 0291-2024）（以下简称“《规范》”），于当天实施。

据悉，在金融业信息系统建设过程中，开源软件得到了广泛应用，在促进金融机构科技创新和数字化转型等方面发挥了积极作用，但也带来安全、合规等方面的风险与挑战。因此，有必要对开源软件的引入、维护、退出阶段进行规范，提出相应的评估指标。

《规范》旨在针对开源软件使用过程中的风险与难点，提出一套完整的开源软件生命周期管理各阶段评估项与评估方法，降低金融机构开源软件评估过程的复杂度和时间成本，提升金融机构开源治理能力。

《规范》规定了金融机构在应用开源软件时的评估要求，对开源软件的引入、维护和退出提出实现要求、评估方法和判定准则。适用于金融机构对应用的开源软件进行评估。

《规范》提到，引入的开源软件按照实际应用情况，可分为开源基础软件、开源组件和开源工具3类。

开源软件引入评估

开源软件引入流程分为3个阶段：

一是需求确定阶段。应明确软件功能需求与非功能需求。

二是初步筛选阶段。应根据需求展开调研，依照初选评估要求，对开源软件进行评估，建立若干可进入终选评估的开源软件名单。

三是终选评估阶段。应根据初选阶段建立的开源软件名单，依照终选评估要求进行评估，并确定最终引入的开源软件。

在初选评估要求上，评估维度包括：

1、开源许可证。金融机构在选用开源软件时，应遵守该开源许可证对使用、修改等行为的规定。

2、产品认可度。产品认可度反映了开源软件在行业生产实践中的应用情况。

3、产品活跃度。产品活跃度反映了开源软件的可持续性和可进化能力，主要从开源软件的版本发布情况、开源社区情况、软件关注情况等方面进行评估。

4、行业支持情况。行业支持情况反映开源软件在业界提供专业化服务的情况。

5、功能特性。不同软件用于解决不同场景的特定问题，其功能特性也不相同，对于功能的评测应结合具体场景进行。

6、安全性。初步筛选阶段安全性重点考查已暴露的漏洞情况。

7、可靠性。重点考察开源软件自身或者结合其他开源软件的高可用性，在出现故障时是否具备自动故障切换能力和容错能力。

8、兼容性。可通过查看文档的方式评估开源软件的兼容性，例如开源软件对不同硬件的兼容性、对不同操作系统的兼容性。

在终选评估要求上，评估维度则包括：

1、安全性。终选阶段安全性重点考查安全机制方面的支持情况。

2、可靠性。终选阶段可靠性重点考察外部开源软件长时间无故障运行的能力，系统可在极限情况下长时间稳定运行，保证业务成功率以及执行效率。

3、性能效率。终选阶段性能效率重点考查在实际压测环境下开源软件的TPS、QPS、平均响应时间、最大响应时间、最大并发数、服务调用成功率、时间标准差、CPU使用率、内存占用率、带宽占用及I/O情况。

4、兼容性。兼容性包括硬件兼容性、操作系统平台兼容性、数据库兼容性、开源软件版本之间的兼容性，以及编程语言的兼容性、协议兼容性、同一运行环境的其他组件兼容性、开源软件与国产操作系统兼容性。

5、可维护性。可维护性即维护人员对该开源软件进行维护的难易程度，具体包括理解、改正、改动和改进该软件的难易程度。

6、可扩展性。可扩展性主要包括分布式系统下节点的水平扩展、动态扩展及代码扩展能力。

7、易用性。易用性描述了开源软件的学习成本、安装和部署的难易程度等。

开源软件维护评估

在开源软件维护过程中，金融机构应根据开源软件的自主可控程度将开源软件进行分类管理，根据其对主营业务的影响程度分为3类：

简单使用类开源软件：可搭建环境，且功能可正常使用。

深度使用类开源软件：在满足简单使用类开源软件要求基础上，掌握开源软件容灾容错机制、实现原理、核心算法等重要内容。

定制开发类开源软件：在满足深度使用类开源软件要求基础上，熟悉代码实现、设计思路，通过定制开发能够较好地满足平台需求。

其中，简单实用类开源软件维护评估内容有：

深度使用类开源软件维护评估内容为：

定制开发类开源软件维护评估内容为：

开源软件退出评估

对于开源软件当前版本已无法满足功能、性能需求，或发现当前版本存在重大风险隐患，或该开源软件已停止更新等情况，应进行退出评估。开源软件的退出可通过开源软件版本升级或开源软件更换来实现。

开源软件退出评估内容包括：开源软件退出机制、开源软件的升级具备兼容性、开源软件在升级后开源许可证的变化，以及更换的开源软件。