一个设计完善的开源项目办公室（OSPO），如果存在，就是一个组织的开源运营和治理结构的能力中心。 正如TODO工作组和Linux基金会人工智能（AI）与数据发布的近期深度研究报告中所描述的那样   ()  ，OSPO通过以下方式使全世界的组织受益：

1. 实施独特和灵活的工具集，支持开源软件（OSS）的开发模式，同时满足企业的信息技术准则；

2. 监督内部政策的建立或调整，在快速变化的动态环境中更好地管理OSS的合规性；

3. 帮助跨越传统软件开发实践和开源开发要求之间的文化鸿沟；

4. 改善技术指导以及针对企业内各层级团队成员开展的合规性教育和培训方案。

实现行政支持、资金、软件开发实践和OSS项目优先级的延续性

OSPO可成为开源可持续性和安全性的关键杠杆的方法：

1. 注重教育  - 让你公司每个使用或为OSS作出贡献的开发者学习如何开发安全软件，例如，通过参加免费的开发安全软件教育模块 ()  。
2. 对开发者账户使用多重验证 (MFA)  - MFA使攻击者更难通过控制开发者账户来进行恶意修改（例如，在Github  (https://docs.github.com/en/authentication/securing-your-account-with-two-factor-authentication-2fa/configuring-two-factor-authentication) ）。
3. 在你的CI管道中使用各种工具组合来检测漏洞 。请参考 《OpenSSF安全工具指南》  (https://github.com/ossf/wg-security-tooling/blob/main/guide.md) 。工具应该不是唯一的机制，但它们可以扩展。例如，安全代码扫描器（静态应用安全测试（SAST）工具）分析源代码，可以报告可能存在漏洞的区域，而软件组件分析（SCA）/依赖分析工具可以警告你依赖中的已知漏洞。
4. 当项目作为OSS进行评估、捐献和发布时 ， 采用OpenSSF最佳实践徽章标准  ()。
5. 使用OpenSSF记分卡度量OSS项目  () 。
6. 签署贡献协议  - 需要来自你组织的贡献者使用DCO签署提交，以增加对代码可被合法授权并可以在开源项目中使用它们的信心。

11.  在社区之间建立双向交流 - 建立和培养社区之间的双向交流。你现在可以在OSPO论坛新的OSPO意愿清单类别中留下你的申请  ( https://github.com/todogroup/ospology/discussions/categories/ospo-wishlist)。

12.  参与社区讨论 - 参与OpenSSF工作组 () ，并加入我们的 新活动"OSPOlogy.live"  () 。

参与新的 活动 OSPOlogy.live

• 安全地使用开源，实现许可协议合规
• 开源可持续性
• 回馈社区
• 确保OSS的安全

OSPOlogy.live 瑞典研讨会

旨在帮助各企业根据具体领域需求有效实施OSPO的第一场OSPO.live 线下研讨会将于10月19-20日在斯德哥尔摩举行，由爱立信的OSPO主办，TODO、OpenChain、SPDX、CHAOSS和OpenSSF等项目协办。OSPOlogy.live瑞典研讨会 现已开放 注册 

( ) 。