https://korea-wg.openchainproject.org/tags/%EB%B3%B4%EC%95%88-%EB%B3%B4%EC%A6%9D/Recent content in 보안 보증 on OpenChain KWGHugokohttps://korea-wg.openchainproject.org/guide/iso18974_guide/3-content-review/2-security-assurance/Mon, 01 Jan 0001 00:00:00 +0000https://korea-wg.openchainproject.org/guide/iso18974_guide/3-content-review/2-security-assurance/<div class="alert alert-info" role="alert"><div class="h4 alert-heading" role="heading">구축 단계</div> <p>이 조항은 <strong>Phase 3 — 프로세스 구축</strong> 단계에서 구축합니다. ISO/IEC 18974 전용 신규 조항으로, 취약점 탐지·해결 절차와 조치 기록을 수립합니다. <a href="https://korea-wg.openchainproject.org/guide/iso18974_guide/#%eb%8b%a8%ea%b3%84%eb%b3%84-%ea%b5%ac%ec%b6%95-%eb%a1%9c%eb%93%9c%eb%a7%b5">전체 구축 로드맵 보기</a></p> </div> <div class="alert alert-warning" role="alert"><div class="h4 alert-heading" role="heading">★ 18974 전용 항목 — Documented Evidence 강도</div> <p>§4.3.2.1과 §4.3.2.2는 ISO 18974 전용(★) 항목으로 <strong>Documented Evidence</strong>(문서화된 증거)를 요구한다. 단순 &ldquo;취약점 대응 절차 문서&quot;가 아니라 <strong>각 CVE에 대한 실제 수행 기록</strong>(스캔 결과, CVSS 점수, 조치 이력, VEX 발행, 고객 통보 이력 등)을 보관해야 한다. 강도 차이의 자세한 설명은 <a href="https://korea-wg.openchainproject.org/guide/iso18974_guide/1-program-foundation/5-standard-practice/#iso-18974-%ec%a0%84%ec%9a%a9-%ed%95%ad%eb%aa%a9%ec%9d%98-%ea%b0%95%eb%8f%84--documented-evidence">§4.1.5 표준 관행 — Documented Evidence 안내</a>를 참고한다.</p> </div>https://korea-wg.openchainproject.org/guide/iso18974_guide/Mon, 01 Jan 0001 00:00:00 +0000https://korea-wg.openchainproject.org/guide/iso18974_guide/<p>이 가이드는 ISO/IEC 18974(OpenChain Security Assurance)의 각 요구사항 조항을 하나씩 풀어서 설명한다. 각 조항이 요구하는 입증자료가 무엇인지, 어떻게 준수할 수 있는지, 바로 활용할 수 있는 샘플 문서는 무엇인지 안내한다.</p> <p><strong>Author : OpenChain Korea Work Group / <a href="https://creativecommons.org/licenses/by/4.0/">CC BY 4.0</a></strong></p> <h2 id="대상-독자">대상 독자</h2> <ul> <li>오픈소스 보안 보증 체계를 처음 수립하는 기업의 보안 담당자 및 오픈소스 프로그램 매니저</li> <li>DevSecOps 환경에서 오픈소스 취약점 관리 프로세스를 구축하는 엔지니어</li> <li>ISO/IEC 5230 인증 취득 후 ISO/IEC 18974 추가 인증을 준비하는 기업 담당자</li> </ul> <h2 id="isoiec-5230과의-관계">ISO/IEC 5230과의 관계</h2> <div class="alert alert-warning" role="alert"><div class="h4 alert-heading" role="heading">ISO/IEC 18974는 ISO/IEC 5230 위에 보안 레이어를 추가한다</div> <p><strong>ISO/IEC 5230(라이선스 컴플라이언스)</strong> 은 오픈소스 라이선스 의무 이행을 체계적으로 관리하는 기반 프로그램을 다룬다.</p> <p><strong>ISO/IEC 18974(보안 보증)</strong> 은 그 위에 취약점 탐지·평가·대응이라는 보안 레이어를 추가한다. 두 규격은 정책·역량·SBOM 등 핵심 인프라를 공유하며, 18974는 이를 보안 관점에서 확장하고 심화한다.</p> <table> <thead> <tr> <th>구분</th> <th>ISO/IEC 5230</th> <th>ISO/IEC 18974</th> </tr> </thead> <tbody> <tr> <td>목적</td> <td>라이선스 컴플라이언스</td> <td>보안 보증</td> </tr> <tr> <td>입증자료</td> <td>25개</td> <td>25개</td> </tr> <tr> <td>공통 기반 조항</td> <td>—</td> <td>16개 (5230과 대응)</td> </tr> <tr> <td>18974 전용 조항</td> <td>—</td> <td>9개 (보안 특화)</td> </tr> <tr> <td>핵심 추가 요소</td> <td>—</td> <td>취약점 탐지·대응·CVD 절차</td> </tr> </tbody> </table> </div>