软件资产管理：别让无证软件成为合规雷区
导语：一台服务器上装了哪些软件、是否授权、版本是否受支持，多数单位答不上来。软件资产管理（SAM）既能控风险，也能省成本。
一、为什么要关注
未经授权或停更的软件是安全与合规双重隐患：一方面可能侵权，面临法律风险；另一方面停更版本不再收安全补丁，沦为攻击跳板。信创推进中，软件正从闭源向国产化、开源混合演进，许可证（License）与开源协议合规更复杂。SAM通过清点、度量、管控，让软件"来源清、授权明、版本受控"。
二、核心原理
SAM覆盖软件全生命周期：清点（装了什么）、度量（用量与授权是否匹配）、管控（安装审批与黑名单）。核心是建立"软件目录"与"授权台账"的对照，识别过度采购与缺口。对开源组件还需关注许可证类型（如GPL传染性）与漏洞情报，避免合规与供应链风险。
SAM常被误认为"管授权"，其实它管的是"风险与成本两头"。一边是侵权与停更的开源/商业软件风险，一边是沉睡授权的资金浪费。尤其信创推进中，软件正从闭源向国产与开源混合演进，许可证类型（如传染性条款）直接影响分发合规。SAM把"装了什么、是否授权、是否受支持"量化，让采购与替换有依据。
三、落地做法/步骤
- 软件清点：自动扫描在网主机的已装软件与版本。
- 建授权台账：记录采购、授权类型、数量与到期。
- 比对缺口：用量与授权对齐，清理超标与无证。
- 设安装管控：审批+黑名单，禁止随意安装。
- 管开源合规：登记组件许可证与漏洞状态。
- 定期复审：结合信创替换更新目录。
在信创背景下，SAM还应跟踪"替代进度"：哪些国外软件已找到国产对应、哪些仍待替换。把替换状态标进软件目录，能与兼容清单（见100）互为印证，让管理层看清自主可控的实况。SAM从"防风险"延伸到"助转型"，其战略价值进一步放大，成为信创治理的抓手。
四、与群晖NAS/信创云盘的对应能力
软件清单、授权证明、开源成分表需集中保管且可追溯。群晖DS1525+、DS1825+可作为SAM台账与采购凭证的集中备份；信创云盘（软件化部署、支持信创）可作为软件目录、授权文档的共享空间，按角色授权查阅、全程审计，满足等保2.0对软件资产管控与密评GB/T 39786对受控文档管理的要求。
五、常见误区
- 只管商业软件，忽视开源组件的许可证风险。
- 采购与用脱节，重复购买或授权缺口并存。
- 无安装管控，终端随意装来路不明软件。
六、小结与行动建议
从"清点+授权比对"切入，把开源合规纳入视野。软件资产要可证明、可审计、可控安装。