ISO 5230 · 18974 · 42001 비교

Mon, 01 Jan 0001 00:00:00 +0000

1. 세 표준의 관계

오픈소스를 사용하는 AI 시스템을 개발하는 기업은 세 가지 표준이 교차하는 지점에 있다.

flowchart LR
 subgraph oss["오픈소스 관리"]
 A["ISO/IEC 5230\n라이선스 컴플라이언스\n(라이선스·SBOM·산출물)"]
 B["ISO/IEC 18974\n보안 보증\n(취약점 탐지·대응·CVD)"]
 end

 subgraph ai["AI 시스템 관리"]
 C["ISO/IEC 42001\nAI 관리 시스템\n(거버넌스·리스크·생애주기)"]
 end

 oss -- "AI 시스템 내\n오픈소스 컴플라이언스" --> ai

ISO 5230과 18974는 오픈소스 자체를 관리하는 표준이고, ISO 42001은 AI 시스템을 관리하는 표준이다. 두 영역은 독립적이지만, AI 시스템이 오픈소스를 활용할 때 교차점이 발생한다.

ISO/IEC 42003 — AI 시스템 구현 가이드 (개발 중)

ISO/IEC 42001이 원칙적 요구사항을 제시하는 반면, ISO/IEC 42003은 42001의 구체적 구현 방법을 안내하는 가이드(새롭게 승인된 work item)다. OpenChain AI Work Group은 AI SBOM을 ISO 42003의 투명성·설명 가능성 조항 (Appendix C.2.11 — Transparency and Explainability)에 반영하는 것을 추진 중이다. AI SBOM 의무화 관련 최신 동향은 AI Work Group 활동을 참고한다.

ISO/IEC 5230 vs 18974 비교

Mon, 01 Jan 0001 00:00:00 +0000

1. 두 표준의 관계

ISO/IEC 5230과 ISO/IEC 18974는 모두 OpenChain 프로젝트가 주도하는 오픈소스 관련 국제 표준이지만, 서로 다른 문제를 다룬다. 5230은 오픈소스 라이선스 컴플라이언스(저작권 의무 이행, SBOM 관리, 컴플라이언스 산출물 배포)를 다루고, 18974는 오픈소스 보안 보증(취약점 탐지, 평가, 대응, CVD)을 다룬다. 두 표준은 완전한 상위·하위 집합 관계가 아니다. 정책, 역량, SBOM 등 9개 공통 조항을 공유하되, 5230에만 있는 조항(라이선스 컴플라이언스·산출물·기여)과 18974에만 있는 조항(표준 관행 구현·보안 보증)이 각각 존재한다.

두 표준을 동시에 준수하면 라이선스 의무 이행과 보안 취약점 관리를 하나의 통합 오픈소스 프로그램으로 운영할 수 있다. 공통 기반 문서(정책·역량 기록·SBOM 절차)는 한 번 작성으로 두 표준에 동시 활용되므로, 5230 인증 후 18974를 추가로 준비하는 데 드는 실질적 추가 작업량은 전체의 30~40% 수준이다.

비교 on OpenChain KWG

ISO 5230 · 18974 · 42001 비교

1. 세 표준의 관계

ISO/IEC 5230 vs 18974 비교

1. 두 표준의 관계