Ch4-05 软件许可与进出口管制（Software Licensing & Import/Export）

域：Domain 1｜章：Chapter 4 – 法律、法规、合规

① 一句话秒懂

软件”怎么用合法”靠许可协议；”能不能卖给外国”靠 ITAR / EAR 进出口管制——两类都属合规义务，安全人员签合同前必看。

② 生活类比

许可像”买车”：永久许可=全款买断随便开；订阅=租车按月付；开源=开源图纸随便改（但有条件）；命名用户许可=指定司机；并发许可=几把钥匙轮流用。进出口管制像”军火出口审批”——加密/高技术不能随便卖到”关注国”。

③ 核心概念（大白话）

A. 软件许可类型 | 类型 | 特点 | 考试关联 | |—|—|—| | 永久许可 Perpetual | 一次性付费，无限期用；升级/支持另付费 | 资产化 | | 订阅许可 Subscription | 按期付费（月/年），通常含更新支持 | SaaS 常见 | | 开源 Open-Source | 免费使用/修改/分发；分条件（GPL / MIT） | GPL 传染性 | | 免费软件 Freeware | 免费但有使用限制 | — | | 企业许可协议 ELA | 大组织统一部署、折扣价 | 批量 | | EULA | 安装时弹出的权利义务声明 | 点击即受约束 | | 并发许可 Concurrent | 限定同时在线人数 | 按”座位” | | 命名用户 Named User | 绑定具体账号/人 | 按”人” | | 云服务许可 Cloud/SaaS | 注册即同意在线条款 | 跨境数据 |

B. 进出口管制（安全人员要懂的红线）

ITAR（国际武器贸易条例）：管军用/国防物项（含相关技术资料），清单在 USML（22 CFR 121）。
EAR（出口管理条例）：管商用但有军事用途的物项，清单在 CCL；明确包含”信息安全产品”整类。
关注国家 Countries of Concern：古巴、伊朗、朝鲜、叙利亚（因核扩散/支持恐怖主义等）。
加密产品出口：现可提交商务部审查（≤30 天）后自由出口，但政府常超期。

真实案例：早年美国加密软件几乎禁止出口，致美企国际竞争劣势；后放松，但”关注国”仍严格受限。

④ 记忆口诀

“永久买断、订阅租车、开源有条件、EULA 点即绑”。
ITAR=军用(USML)；EAR=商用含信息安全(CCL)。
关注四国：古/伊/朝/叙。

⑤ 考试怎么考（易错 & 陷阱）

❌ 以为开源软件”完全无约束”。错：GPL 等有传染条款，须遵守条件。
❌ 把 ITAR/EAR 搞混。记：ITAR 军用、EAR 商用（含信息安全）。
✅ 套路：问”含加密的信息安全产品出口受哪个法规管”→ EAR（CCL）。

⑥ 自测

下列哪类许可按”同时在线人数”限制？ A. Named User　B. Concurrent Use　C. Perpetual　D. ELA 答案：B
美国出口管理条例 EAR 的受控清单叫？ A. USML　B. CCL　C. UCMJ　D. CUI 答案：B

关键定义以原书（Sybex 10th ed., Ch4）为准；本篇为考点加厚版。