各国开源政策与标准

美国篇

出台支持开源发展的政府政策

早在 2002 年，美国智库就开始对开源软件的政府政策问题进行研究，并发布关于开源软件的政府政策报告，对包括政府采购和专利等在内的政策议题进行探讨，为政府政策提供支持。此后，欧美国家政府开始有意识地出台相关政策推动开源发展。据欧盟委员会“开源观测”项目 2020 年发布的分析报告，欧盟成员国（包括英国）过去 20 年来共出台了不少于 75 份政策文件（如政府计划、战略文件等）和 25 份法律文件（如议会决议、法律、法规等）以推动开源发展；其中，有 25 份政策文件和 6 份法律文件专门针对开源软件而制定，其他文件则是在其数字化议题中提到了开源。欧美国家政府促进开源发展的政策主要包括：推动政府软件开源和公共数据开放、引导业界关注开源风险等。

推动政府软件和财政资助项目成果软件开源

2016 年 8 月，美国政府发布“联邦源代码政策”，要求联邦机构每年必须将不少于 20% 的新开发源代码以开源形式公开发布，并且要求开源至少 3 年。2019 年，英国出台的《数字服务标准》及此后更新的《服务标准》中要求，政府部门应选择合适的许可证开源所有新的代码。2020 年 10 月，欧盟委员会批准了《开源战略 2020-2023》特别强调软件解决方案和专业知识的共享和重用，以及在信息技术和其他战略领域增加开源的使用，秉持开放、转型、共享、贡献、安全等原则提高欧洲数字化建设和公共服务能力。2021 年，法国发布的《国家开放科学计划（2021—2024 年）》要求，公共资金资助的研究数据、算法和源代码应通过开放许可进行传播共享。

推动政府公共数据开放

2016 年，法国《数字共和国法案》要求开放公共研究数据。2019 年 1 月，美国国会通过了《开放政府数据法案》，将开放数据作为美国法典的一部分。美国成为继法国、和德国之后，将开放政府公共数据从政府政策上升为国家法律的国家。在这些国家，政府公共数据应以机器可读的格式，在不损害隐私或安全的前提下，默认向公众开放。

引导产业关注开源风险

早在 2004 年，美国联邦金融机构审查委员会发布的《开源软件风险管理指引》要求，金融机构在采用开源软件时参照该指引加强风险管理。此外，英国政府发布了《开放代码的安全注意事项指南》；欧盟发起过开源软件审计项目改善关键开源软件的安全性。

2022 年，美国白宫与开源组织、科技巨头共同推动 1.5 亿美元开源软件保护计划。Linux 基金会和 OpenSSF 已经为 1.5 亿美元确定了 10 个投资流，将在两年内分摊。

英国开源产业政策

英国在 2004 年首次发布开源产业政策，并于 2009 年 2 月进行了更新，开源非营利组织 OpenUK 于 2021 年 2 月在 2021 年欧盟开源政策峰会发布了其三阶段报告，报告指出开源技术为英国贡献了高达 430 亿英镑（602.2 亿美元）的经济增长，这表明英国在开源开发方面领先于欧洲。并表示，英国仍是开源技术的领导者，其国内预计有 12.6 万名贡献者参与了创建、开发和维护开源的工作；这一数字将近欧盟 26 万名开源开发者中的一半。

事实上早在 2012 年 11 月，英国政府内部就已经就采用开源技术发出了 Open Standards Principles 的指引，但这次却更进一步，将采用开源技术常规化。这次在政府服务设计手册中的 When to use open source 中，就明文指出政府必须在作业系统、网路软体、网页伺服器、资料库和程式语言方面，逐步以开源技术技术取代专属或闭源的技术。

2016 年为英国政府开发的新代码现在已经开源了。在 2017 年，已经越来越多的国家，组织和公司采用开源软件。现在，英国政府也宣布采用开源公司办公套件，那就是基于 LibreOffice 的“GovOffice”。协作办公套件 GovOffice 支持超过 100 种格式，包括 Microsoft Office 和 Google Docs。GovOffice 是基于最流行的办公软件 LibreOffice，也将支持从移动设备直接跳转到 Web 浏览器打开和编辑文档。这个措施将会覆盖所有的 Govt 机构，甚至是政府机构代表。

德国的开源产业政策

自 2001 年德国慕尼黑决定推动 LiMux 计划，2005 年正式启动了相关迁移工作，但是，2017 年 11 月，慕尼黑城市委员会（Munich City Council）正式决定到 2020 前回归微软的 Windows 系统，这意味着德国开源运动遭受重大挫折，甚至于可以说是失败了。

慕尼黑启动的LiMux既包括操作系统，还涉及到了大量的应用软件。操作系统主要推出LiMux，它是Linux的一个发行版本，包括了Ubuntu、LibreOffice和WollMux等套件；应用软件主要涉及到OpenOffice，后来切换到LibreOffice。

只是非常可惜，这种技术上的独立运动，在慕尼黑的开源计划中，并没有足够的群众基础。德国是一个重视产业政策的国家，强大的政府希望推动具有自主知识产权的开源运动，借此挑战微软等“霸权”，只是事与愿违，该运动并没有得到除了跟LiMux项目利益相关者之外的支持，甚至于一些德国IT企业，例如SAP等也没有深入参与该计划。

总体来讲，德国开源产业还处于个人主义阶段（缺乏群众基础），没有进入到成熟商业模式运行阶段。

美国的限制性政策

  • 1996 年成立，瓦森纳安排全称为“关于常规武器和两用物品及技术出口管制的瓦森纳安排”（The Wassenaar Arrangement on Export Controls for Conventional Arms and Dual-Use Good and Technologies，WA）
  • 2013 年 12 月，出口限制技术清单进行了修订，增加包括基于互联网的监视系统。被出口管制的新技术包括“渗透软件”（旨在破坏计算机或网络保护措施以提取数据或信息的软件）以及 IP 网络监视系统。
  • 2019 年，谷歌限制华为使用安卓服务（GMS）。业界开始讨论：开源软件的出口是否也会受到限制？
  • 2019 年 5 月 22 日，Apache 回应：参与开源不受美国出口管理条例约束
  • 2020 年 7 月 8 日，Linux 基金会发布了一份中英文版的《了解开源科技和美国出口管制》的白皮书。当中提到，开源技术不受制于《美国出口管制条例》（EAR）
  • 2019-05-29：全球最大的技术专业组织 IEEE（电气电子工程师学会）宣布暂时禁止华为担任旗下期刊编辑或同行评议审稿人
  • 2019-06-03：IEEE 发布合规性声明，声称在向商务部咨询后宣布解除对华为的管制，华为员工可以正常参与期刊编辑和同行评审工作。
  • 2021-10-21：突发！美国政府将禁止向中国和俄罗斯出口黑客工具
  • 2022-06-04：美商务部新规：未经审批禁止向中国分享安全漏洞，微软反对无效

简单总结

  • 目前始终没有真正涉及开源供应链
  • 周边有很多小动作
    • 限制个人
    • 限制贡献
    • 限制加密软件、黑客工具
    • 限制（商业）漏洞披露
  • 不能掉以轻心

中国的政策

2019 年，华经情报网在《2018 年中国开源软件行业发展现状，开源软件整体发展形势向好》文章中，对国内开源政策做了详细说明，以下是部分段落的节选。

2017 年，我国政府对开源的认识进一步提升，对开源软件发展的政策支持力度在不断加强。《信息产业发展指南》明确提出："支持企业联合高校、科研机构等建设重点领域产学研用联盟，积极参与和组建开源社区"，"支持开源、开放的开发模式"，重点推进云操作系统等基础软件产品的研发和应用。 《软件和信息技术服务业发展规划（2016－2020 年）》中提到："发挥开源社区对创新的支撑促进作用，强化开源技术成果在创新中的应用，构建有利于创新的开放式、协作化、国际化开源生态"，"支持建设创客空间、开源社区等新型众创空间"，要实施软件"铸魂"工程，重点"构筑开源开放的技术产品创新和应用生态"。

中国的开源规划

2021 年 3 月 12 日，新华社受权全文播发《中华人民共和国国民经济和社会发展第十四个五年规划和 2035 年远景目标纲要》，「开源」首次被明确列入国民经济和社会发展五年规划纲要，相关内容摘录如下：

聚焦高端芯片、操作系统、人工智能关键算法、传感器等关键领域，加快推进基础理论、基础算法、装备材料等研发突破与迭代应用。加强通用处理器、云计算系统和软件核心技术一体化研发。加快布局量子计算、量子通信、神经芯片、DNA 存储等前沿技术，加强信息科学与生命科学、材料等基础学科的交叉创新，支持数字技术开源社区等创新联合体发展，完善开源知识产权和法律体系，鼓励企业开放软件源代码、硬件设计和应用服务。

开源标准——供应链相关标准

  • 供应链安全相关标准：
    • ISO/IEC 27036-3/4 —— ICT 供应链安全指南/云服务安全指南
    • NIST SP 800-161 —— 联邦信息系统和组织供应链风险管理方法
    • GB/T 36637-2018 —— 信息安全技术 ICT 供应链安全风险管理指南
  • 代码安全相关标准：
    • ISO/IEC 25000 系列标准 —— 系统和软件质量需求和评估（SQuaRE）
    • GB/T 38674-2020 ——信息安全技术 应用软件安全编程指南
    • GB/T 39412-2020 —— 信息安全技术 代码安全审计规范
  • 代码安全相关认证：
    • 网络安全等级保护认证 —— GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求
    • 数据安全认证 —— GB/T 35273-2020 信息安全技术 个人信息安全规范
    • 信息安全管理体系认证 —— ISO/IEC 27001:2013 Information security management systems
    • 隐私信息管理体系认证 —— ISO/IEC 27701:2018 Privacy Information Management

开源标准——开源治理相关标准

  • OpenChain Specification - ISO/IEC 5230:2020
    • https://www.openchainproject.org/
    • The Specification outlines elements of a successful open source license compliance program.
  • SPDX - ISO/IEC 5962:2021
    • https://spdx.dev/
    • This Software Package Data Exchange® (SPDX®) specification defines a standard data format for communicating the component and metadata information associated with software packages.
  • CHAOSS - Community Health Analytics Open Source Software
    • https://chaoss.community/
    • CHAOSS is a Linux Foundation project focused on creating analytics and metrics to help define community health
  • SBOM - Software Bill of Materials
    • https://www.ntia.gov/SBOM
    • A “Software Bill of Materials” (SBOM) is effectively a nested inventory, a list of ingredients that make up software components.

信通院：可信开源标准体系

标准院：开源标准体系

  • 《信息技术 开源 开源概览与术语》
  • 《信息技术 开源 元数据通用要求》
  • 《信息技术 开源 开源许可证框架》
  • ...