컴플라이언스 on OpenChain KWG

FOSSLight

Mon, 01 Jan 0001 00:00:00 +0000

FOSSLight는 LG Electronics가 주도하는 오픈소스 컴플라이언스 도구 모음입니다. 소스 코드·의존성·바이너리를 분석하는 FOSSLight Scanner와, 분석 결과를 중앙에서 관리하는 웹 플랫폼 FOSSLight Hub로 구성됩니다.

GitHub (Hub): https://github.com/fosslight/fosslight
GitHub (Scanner): https://github.com/fosslight/fosslight_scanner
공식 문서: https://fosslight.org/fosslight-guide/
라이선스: AGPL-3.0-only

주요 특징

FOSSLight Hub

컴플라이언스 프로세스 통합 관리: 프로젝트별 BOM 관리, 라이선스 의무사항 이행, 공지문 생성까지 일괄 처리
취약점 모니터링: NVD·CVE 연동으로 사용 중인 오픈소스의 취약점 현황 추적
3rd Party 관리: 외부 소프트웨어 공급망의 오픈소스 현황 등록 및 관리
SBOM 관리: SPDX(ISO 표준) 형식 지원

FOSSLight Dependency Scanner

14개 이상의 패키지 매니저 지원: NPM, Yarn, Maven, Gradle, PyPI, Go, Cargo, NuGet, CocoaPods 등
자동 감지: manifest 파일을 자동으로 탐지하여 분석
직·간접 의존성 분석: 전이적 의존성까지 재귀적으로 수집
다양한 출력 형식: Excel, SPDX, CycloneDX, YAML, CSV

FOSSLight Hub 설치

Docker Compose를 사용합니다. 공식 저장소를 clone하여 실행합니다.

AI SBOM 컴플라이언스 가이드

Mon, 01 Jan 0001 00:00:00 +0000

이 가이드는 OpenChain AI Work Group이 펴낸 AI System Bill of Materials — Compliance Management Guide for the Supply Chain(Version 1.0)의 각 요구사항을 하나씩 풀어서 설명한다. 각 조항이 요구하는 입증자료가 무엇인지, 어떻게 준수할 수 있는지, 바로 활용할 수 있는 샘플과 도구는 무엇인지 안내한다.

이 규격은 오픈소스 라이선스 컴플라이언스 표준 ISO/IEC 5230과 같은 구조(요구사항, 검증 자료, 근거)를 AI 공급망으로 옮긴 것이다. 코드뿐 아니라 모델 가중치, 학습 데이터셋, 모델 트리(Model Tree)의 라이선스와 투명성 의무까지 컴플라이언스 대상으로 끌어들인다.

금융분야 오픈소스 관리 실무 가이드

Mon, 01 Jan 0001 00:00:00 +0000

금융권은 오픈소스를 점점 더 많이 쓰면서도 폐쇄망, 망분리 규제, 공급망 보안, 감사 대응이라는 고유한 조건 아래에서 관리해야 한다. 이 가이드는 금융분야 오픈소스 소프트웨어 활용·관리 안내서(금융감독원·금융보안원, 2022)가 제시한 관리 절차를 국제표준 ISO/IEC 5230·18974의 입증자료, 그리고 기존 KWG 실무 가이드와 연결해, 담당자가 무엇을 어떤 순서로 갖춰야 하는지를 실행 가능한 형태로 안내한다.

Author : OpenChain Korea Work Group / CC BY 4.0

본 가이드의 성격과 범위

이 가이드는 금융분야 오픈소스 소프트웨어 활용·관리 안내서(이하 FSEC 안내서)를 대체하지 않는다. 안내서가 정한 절차를 실제로 운영하도록 돕는 보조 자료다. 안내서가 비규제 자율 안내이듯, 이 가이드의 권고도 법적 의무가 아니라 모범 실무다.

범위는 안내서와 같다. 오픈소스의 활용과 관리(라이선스 준수, 보안 관리)에 집중하고, 자체 소프트웨어의 외부 공개나 오픈소스 프로젝트 기여는 다루지 않는다. 금융권의 공개 소극성을 반영한 결정이다.