如果并購交易涉及到軟件，那在目標代碼庫中識別開源組件就至關重要。并購交易運作過程中，代碼所含內(nèi)容至關重要。應用中未被發(fā)現(xiàn)的開源可能導致代價高昂的許可證違規(guī)。這些以及專有、開源和其他第三方軟件中的安全漏洞可能會對軟件資產(chǎn)的價值產(chǎn)生重大負面影響。在滿足并購盡職調(diào)查要求方面，光靠軟件組成分析(SCA)還不夠，開源審計能提供更多保障。
開源無處不在。多年來研究人員一直關注開源使用的增長，但由于現(xiàn)在開源十分普遍，他們對建立在開源組件基礎上的應用安全愈發(fā)擔憂。使用開源組件需要遵循開源許可，許多公司已經(jīng)深刻意識到如果不滿足這些規(guī)則要求，則會面臨法律的風險。因此，在涉及技術并購的交易中，開源安全性和許可證合規(guī)性是收購方和目標公司的主要關注點之一。
這些公司可以通過執(zhí)行軟件組成分析(SCA)來追蹤他們使用的開源。SCA是一種可識別應用中使用的第三方代碼的自動化流程，能夠發(fā)現(xiàn)在代碼庫中與開源相關的未修補的代碼、許可證和潛在的安全漏洞。然而，在涉及軟件的并購交易中，利益相關者們需要對代碼庫中的開源進行更為嚴格和快捷的評估，而這光依靠SCA工具是無法做到的。
為什么SCA還不足以用來評估并購過程中的開源?
自動化的SCA工具有助于單個公司監(jiān)測和識別自用的開源組件和框架結構。調(diào)研機構451 Research有一篇報告詳細闡述了并購交易中SCA的使用案例。成立不久的公司往往會將新的應用快速推向市場，因此他們越來越多地使用開源。經(jīng)常使用自動化的SCA工具能夠幫助這些公司進行漏洞追蹤、補丁管理和確保許可證的合規(guī)性。當SCA工具直接集成到開發(fā)工作流時將發(fā)揮最大效用，讓開發(fā)團隊不用以犧牲速度為代價來減輕開源的風險。
但是企業(yè)使用不同的SCA工具，得到的分析結果也有差異，他們可能會遺漏一些潛藏的代碼。依賴項掃描可以很好地發(fā)現(xiàn)已公開的開源代碼，但是未在軟件包管理器中公布、只是作為部分、或已修改組件引入的開源代碼則可能會完全遺漏。此外，開源代碼還可以通過復制粘貼開源代碼“片段”，將其納入代碼中。盡管這看上去只是整個代碼庫的一小部分，該代碼仍需要遵循其來源組件的許可義務，同時，在并購盡職調(diào)查中應該加以體現(xiàn)。
因此，在并購交易中，合規(guī)責任轉移到了收購一方，他們需要關注目標公司代碼庫中知識產(chǎn)權所攜帶的潛在開源風險。
為什么并購交易中的企業(yè)需要開源審計而不是自動化的掃描工具?
收購公司無法輕易對目標公司的代碼庫進行自動化SCA掃描。首先，并購交易尚未完成前，目標公司不會將其源代碼移交給收購方;其次，自動化SCA掃描集成到開發(fā)工作流中時才能發(fā)揮最大效用，從而使得企業(yè)能夠監(jiān)測軟件構建的過程;最后，以完成并購交易為目的而對掃描結果進行的評估和研究需要更多時間和更高專業(yè)性，這可能是并購團隊無法做到的。
想要創(chuàng)建一個高度精準和詳盡的、包含代碼庫中所有開源的軟件物料清單(BoM)，并且在交易的時間表內(nèi)完成，最佳的辦法是借助第三方來進行開源審計。
一個典型的代碼庫包含多少開源組件?
新思科技公司近日發(fā)布了《2020年開源安全和風險分析》報告(OSSRA)。該報告研究了由Black Duck審計服務團隊執(zhí)行的對超過1,250個商業(yè)代碼庫的審計結果。其中開源占所有代碼的70%。這意味著我們掃描的每個代碼庫中平均有三分之二以上包含開源組件。
需要特別注意的是，Black Duck審計的一個主要用處就是并購盡職調(diào)查，OSSRA報告中的數(shù)據(jù)可以作為并購交易中體現(xiàn)開源趨勢的一項指標。
為什么企業(yè)使用這么多開源?
正如451 Research報告所述，更快速、更頻繁的應用軟件交付趨勢不會在短期內(nèi)消失：“在這些應用程序中使用開源組件已不再是一個新奇的想法?，F(xiàn)在有很多開發(fā)人員使用由第三方編寫的免費代碼，這也是客戶的交付需求促使的。”
新思科技OSSRA報告闡明了開源審計所揭露的相關風險：
· 掃描的代碼庫中超過99%都包含開源，平均每個代碼庫有445個開源組件
· 67%的代碼庫包含某種形式的開源代碼許可證沖突，33%的代碼庫包含沒有可識別許可證的開源組件。
· 75%的代碼庫包含至少一個開源代碼漏洞，而 49%的代碼庫包含高風險漏洞
在并購中若不進行開源評估，將會面臨哪些風險?
在并購交易中，開源采用率增加的趨勢會引起兩個主要問題：首先，企業(yè)必須了解他們將獲得的軟件中開源的內(nèi)容和數(shù)量，以評估其新收購的知識產(chǎn)權的潛在風險;其次，他們必須在交易之前了解這樣的風險情況，以把控他們的投資回報率，并對交易后所需要的補救成本進行規(guī)劃。
不了解這些風險可能會付出高昂的代價。假設您正在收購Equifax，但沒有執(zhí)行開源工作。那會發(fā)生什么?眾所周知，在2017年導致超過1.4億人的個人數(shù)據(jù)泄露的安全事件，正是由Apache Struts框架中一個未修補的開源漏洞引起的。Equifax 至今已付出了14億美元的高昂代價，而因該漏洞造成的影響遠不止在金錢方面。
事實上，Equifax處理Apache Struts漏洞修復的速度遠遠快于平均水平。2014年，新思科技揭露了Heartbleed漏洞，而這個漏洞目前仍然是一個全球性的安全問題。
結合OSSRA報告和451 Research報告不難發(fā)現(xiàn)：開源采用率的增長不會在短期內(nèi)放緩，因此涉及軟件的并購風險越來越高。并購專業(yè)人士必須了解所購軟件的全部風險狀況。
下載文檔
