ISO/IEC 5230 on OpenChain KWG

1. OpenChain 표준

Mon, 01 Jan 0001 00:00:00 +0000

ISO/IEC 5230

OpenChain 프로젝트는 2016년 OpenChain 규격 1.0을 제작하여 배포했다. OpenChain 규격은 오픈소스 컴플라이언스를 위한 핵심 요구사항을 정의한 12페이지 분량의 규격으로, 기업의 규모나 업종과 관계없이 모든 분야의 회사에 적합하도록 고안되었다. 2020년 12월 Openchain 규격 2.1은 ISO/IEC 5230 국제표준으로 등록되었다.

ISO/IEC 5230은 기업이 오픈소스 컴플라이언스 달성을 위해 꼭 수행해야 할 여섯 가지 주요 요구사항과 이를 입증하기 위해 필요한 자료 목록을 정의하고 있다.

프로그램 설립
관련 업무 정의 및 지원
오픈소스 컨텐츠 검토 및 승인
컴플라이언스 산출물 생성 및 제공
오픈소스 커뮤니티 참여에 대한 이해
규격 요구사항 적합성

오픈소스 컴플라이언스를 처음 시작하는 기업이라면 이러한 ISO/IEC 5230 표준의 요구사항을 하나씩 충족해가면서 수준을 향상시키는 것이 좋은 전략이다.

2. OpenChain 인증

Mon, 01 Jan 0001 00:00:00 +0000

OpenChain 규격에서의 요구 사항을 모두 준수한다면 OpenChain 적합한 오픈소스 프로그램을 보유했음을 인증받을 수 있다. 오픈소스 프로그램이란 정책, 프로세스, 인원 등 기업이 오픈소스 컴플라이언스 활동을 수행하기 위한 일련의 관리 체계를 의미한다. 이 장에서는 인증 방법과 적합성 선언에 관해 설명한다.

OpenChain 프로젝트에서 제안하는 인증 방법은 세 가지 이다.

자체 인증
독립 평가
타사 인증

각각의 방법을 알아보자.

자체 인증

자체 인증은 OpenChain 프로젝트에서 제일 권장하는 방법이며, 비용이 발생하지 않는다는 장점이 있다. OpenChain 프로젝트는 기업이 자체적으로 OpenChain 규격을 충족하는지 확인할 수 있도록 온라인 자체 인증 웹사이트를 제공한다.

Specification

Mon, 01 Jan 0001 00:00:00 +0000

OpenChain 규격 이란?

OpenChain 규격은 오픈소스 컴플라이언스를 위한 핵심 요구사항을 정의한 12페이지 분량의 표준 규격으로, 기업의 규모나 업종과 관계없이 모든 분야의 회사에 적합하도록 고안되었습니다. 2020년 12월에는 OpenChain Specification 2.1이 배포됐으며, 기업이 오픈소스 컴플라이언스 달성을 위해 꼭 수행해야 할 여섯 가지 요건에 대한 설명과 기업이 이를 수행하고 있음을 입증할 수 있는 검증 자료 목록을 정의하고 있습니다.

프로그램 설립
관련 업무 정의 및 지원
오픈소스 콘텐츠 검토 및 승인
컴플라이언스 산출물 생성 및 전달
오픈소스 커뮤니티 참여에 대한 이해
규격 요구사항 준수

오픈소스 컴플라이언스를 처음 시작하는 기업이라면 이와 같은 OpenChain 규격의 요건을 하나씩 충족해나가면서 수준을 향상시킬 수 있습니다.

ISO 5230 · 18974 · 42001 비교

Mon, 01 Jan 0001 00:00:00 +0000

1. 세 표준의 관계

오픈소스를 사용하는 AI 시스템을 개발하는 기업은 세 가지 표준이 교차하는 지점에 있다.

flowchart LR
 subgraph oss["오픈소스 관리"]
 A["ISO/IEC 5230\n라이선스 컴플라이언스\n(라이선스·SBOM·산출물)"]
 B["ISO/IEC 18974\n보안 보증\n(취약점 탐지·대응·CVD)"]
 end

 subgraph ai["AI 시스템 관리"]
 C["ISO/IEC 42001\nAI 관리 시스템\n(거버넌스·리스크·생애주기)"]
 end

 oss -- "AI 시스템 내\n오픈소스 컴플라이언스" --> ai

ISO 5230과 18974는 오픈소스 자체를 관리하는 표준이고, ISO 42001은 AI 시스템을 관리하는 표준이다. 두 영역은 독립적이지만, AI 시스템이 오픈소스를 활용할 때 교차점이 발생한다.

ISO/IEC 42003 — AI 시스템 구현 가이드 (개발 중)

ISO/IEC 42001이 원칙적 요구사항을 제시하는 반면, ISO/IEC 42003은 42001의 구체적 구현 방법을 안내하는 가이드(새롭게 승인된 work item)다. OpenChain AI Work Group은 AI SBOM을 ISO 42003의 투명성·설명 가능성 조항 (Appendix C.2.11 — Transparency and Explainability)에 반영하는 것을 추진 중이다. AI SBOM 의무화 관련 최신 동향은 AI Work Group 활동을 참고한다.

9th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

Schedule: 2021-03-11 (Thu) 2:00~4:00 pm
How to join
- Join Google Meet : https://meet.google.com/kbs-yjce-fcv

Agenda

No	Agenda	Speaker	Slide
0	Intro & Greetings	Newcomers	pptx
1	OpenChain Update	Shane Coughlan, Linux Foundation	-
2	FOSSLight Dependency 소개	LG전자 석지영	ppts
3	OpenChain KWG Update / ISO/IEC 5230 인증 3가지 방법	SK텔레콤 장학성	pptx pptx
4	오픈소스와 함께한 1,273일간의 기록 (ISO 인증 취득 과정)	NCSOFT 한지호	pdf
5	Case Study	All	-
6	Free Discussion	All	-

Case Study

주제 : ISO/IEC 5230 인증 취득을 고려하고 있는지?

Video

OpenChain Update

FOSSLight Dependency 소개

OpenChain KWG Update / ISO/IEC 5230 인증 3가지 방법

오픈소스와 함께한 1,273일간의 기록 (ISO 인증 취득 과정)

Minutes

1. OpenChain Update (Shane Coughlan, Linux Foundation)

ISO 인증

일본, 미국, 한국의 몇몇 회사들이 인증을 받음
가장 큰 뉴스는 이 회사들에 ISO 표준을 적용했을 때 잘 작동한다고 했다는 것. 이는 표준이 잘 만들어졌다는 증명이 될 수 있음
꼭 규모가 큰 회사 뿐 아니라 조금 더 작은 규모의 회사에서도 인증을 받았다는 것이 아주 큰 성과였음

교육

이메일로 신청하면 교육팩을 받아볼 수 있다. (오픈체인, 오픈소스, 오픈체인 인증받는 방법 등에 대한 Slidedeck)
Training course

설문

Project annual survey
모든 질문에 응답할 필요는 없고 원하는 질문에만 응답하는 것도 가능
60초~10분까지 소요되는 분량이며 많은 참여를 독려

2. FOSSLight Dependency 소개 (석지영, LG전자)

LG전자의 Open Source 프로젝트로 FOSSLight Scanner와 FOSSLight System 공개 예정

FOSSLight Scanner: 오픈소스 분석 스캐너
FOSSLight System: 오픈소스 컴플라이언스 통합 시스템

FOSSLight System 사용 방법

FOSSLight Scanner로 스캔한 결과를 업로드
Indentification, Packaging, Distribution 절차를 거쳐서 오픈소스 라이선스 고지문 발급 및 배포까지 완료

FOSSLight Scanner

소스코드 스캔은 ScanCode 활용
Dependency 스캔은 FOSSLight Dependency Scanner 활용
Binary 스캔은 별도 바이너리 스캔 툴 활용 현재는 FOSSLight Dependency Scanner만 공개하였으나, 추후 전체 프로젝트를 공개할 예정

FOSSLight Dependency Scanner

레포지토리 링크: https://github.com/LGE-OSS/fosslight_dependency
사용 언어: Python
오픈소스 라이선스: Apache License 2.0
지원하는 패키지 매니저: Gradle, Maven, NPM, PIP, Pub (추후 Cocoapods, Yarn 추가 예정)
각 dependency의 OSS 정보 확인
- OSS Name
- OSS Version
- License Name
- Download Location
OSS 정보 확인 시 정확한 라이선스 분석을 위해 라이선스 텍스트 분석 오픈소스도 활용함
- Nomos standalone(https://github.com/fossology/fossology/tree/master/src/nomos/agent)
- Askalono (https://github.com/jpeddicord/askalono)

LG전자 오픈소스 가이드 페이지

LG Open Source : http://oss.lge.com
LG OSC Process Guide : https://lge-oss.github.io/guide/
LG FOSSology Guide : https://lge-oss.github.io/fossology-guide/
LG ORT(Oss Review Toolkit) Guide : https://lge-oss.github.io/oss-review-toolkit-guide/

Q&A

ORT와 비교하면 어떤지?
- ORT는 무거운 편이고, 간결하게 사용하기 위해 FOSSLight 라는 시스템을 개발한 것
Gradle의 경우, 분석 프로그램에 플러그인을 설치해야 하는데, LG전자 정책상 플러그인 설치를 강제하고 있는지?
- FOSSLight Requirements 에 플러그인을 설치하고 스캔하라고 가이드하고 있음

3. OpenChain KWG Update (장학성, SK텔레콤)

Korea Work Group 스티커 배포 (Designed by Soim)

ISO/IEC 5230 적합성 인증 선언

엔씨소프트, LG전자 인증 획득

OpenChain 규격 2.1 한국어 번역 완료

https://github.com/OpenChain-KWG/Specification-Translation-KR
Special Thanks to Contributors: LG전자 김경애님, 홍종호님

OpenChain 규격 2.1에 맞게 자체인증 질문지 개선

Korea Work Group 블로그 공간 개설

작성 방법: https://github.com/OpenChain-Project/OpenChain-KWG/wiki/Blog-%EC%9E%91%EC%84%B1%ED%95%98%EA%B8%B0

Sub Group

Planning Group : KWG 거버넌스 체계 구축, 정기 모임 일정/Agenda, 주요 의사결정, 회의록 작성, 굿즈 제작 등
Conformance Group: OpenChain 인증 획득 준비 및 정보 공유

4. ISO/IEC 5230 인증 3가지 방법 (장학성, SK텔레콤)

Self Certify

OpenChain 프로젝트에서 추천하는 방법, 웹사이트에서 무료로 제공하고 있고 대부분의 기업이 채택하고 있음
링크: https://certification.openchainproject.org
방법
- 회원가입
- 현수준 진단
- 미비한 사항들 보완
- 모든 사항 Yes 체크 후 제출
- General Manager에게 인증 수행 결과 제출
- General Manager가 간단한 질의응답 형태로 확인 절차 거침
- 이상이 없다면 적합성 인증 취득 선언

Independent Assessment

제3자가 평가, 미비점 보완을 위한 지원 제공
아직 ISO/IEC 5230은 제3자 평가를 의무화한 조항은 없음
컨설팅 제공이 주요 포인트
주요 업체1 - AlektoMetis
- 미비점 분석, 보완을 위한 Task 수행
주요 업체2 - Source Code Control
- 적합성 인증 획득을 위해 체계적인 계획 수립하여 대시보드화
- 각 항목마다 세부 방법 및 담당자 할당하여 관리

Third Party Certification

인증전문 기관에 의한 평가
인증서 발행
주요 업체1 - TUV SUD (글로벌 시험 인증 기관)
주요 업체2 - PwC (세계 4대 회계법인 중 하나, 다국적 회계 감사 기업)

국내 인증 현황 및 시사점

국내에 아직 ISO/IEC 5230 교육 및 인증을 제공하는 업체는 없음
대기업 그룹사의 경우 한 기업이 전문 지식 및 경험을 획득하고, 계열사 및 관계사 대상으로 Independent Assessment 형태의 서비스를 제공할 수 있을 것 (예: 자동차 업계)

NIPA 발간한 OpenChain 해설서

기업 공개SW 거버넌스 OpenChain 2.0 해설
ISO/IEC 5230에 맞게 개정 예정

Q&A

ISO/IEC 5230 표준 문서는 깃허브에 공개되어 있는지? 자세한 문서는 없는지?
- 한글 번역 작업 진행 중: https://github.com/OpenChain-KWG/Specification-Translation-KR

5. 오픈소스와 함께한 1,273일간의 기록 (한지호, 엔씨소프트)

엔씨소프트의 오픈소스 컴플라이언스 활동은 2017년 6월부터 시작

2017년

오픈소스 분야의 지식이 없었기 때문에 오픈소스 라이선스와 관련된 사외 교육 수강
오픈소스 분야에 이미 경험이 많은 타 기업의 담당자분들께 의견을 구하기도 하였음
- Special Thanks to 전현준 변리사님, 장학성님, 황은경님
오픈소스 컴플라이언스를 담당할 조직 세팅
프로세스 수립
오픈소스 검증 및 사용에 대한 가이드를 정리하여 사내 위키에 공개
오픈소스 문의를 받을 사내 메일 그룹 생성

2018년

Protex 도입하여 오픈소스 검증 착수
당시에는 소스코드 스캔 및 컴플라이언스는 주로 보안 부서에서 담당하였고, 커뮤니케이션이나 서브 업무만 지원
라이브 중인 프로덕트를 대상으로 오픈소스 사용 고지 완료

2019년

사내 개발자 컨퍼런스에서 오픈소스 라이선스 검증에 대한 경과 발표
오픈소스 검증을 주로 담당하던 보안 부서가 사라지게 되어서 오픈소스 컴플라이언스 업무의 R&R을 새로 수립하였음
Protex의 한국 총판 업체도 변경되면서 Protex 계약을 종료하고, 오픈소스 스캔 도구로 Fossology를 도입함

2020년

OpenChain 인증 준비 착수
OpenChain 2.0 요구사항 중 충족하지 못한 부분들 보완
- 문서화된 오픈소스 정책 수립
- 오픈소스 기여 정책 수립
- 전사 오픈소스 교육
오픈소스 정책/가이드를 만들어서 사내 Developers 사이트에 공개
- 도움이 되었던 도서: 오픈소스로 미래를 연마하라
월간 전사 임원회의 및 경영회의에서 오픈소스 컴플라이언스 업무에 대해 공유
- 대표님을 포함한 경영진 레벨에서 스폰서십 확보
오픈소스 교육 콘텐츠 개발
- 30분 내외의 동영상
- 강의용 PPT와 스크립트 공개: https://github.com/ncsoft/oss-basic-training
전사 오픈소스 교육 시행
- 전사 개발자, PM, QA직군 대상
- 약 93% 수료
- 설문조사 시행하여 오픈소스 라이선스에 대한 이해 수준 평가 (5점 만점에 4.2점)
2020년 12월 15일, OpenChain 2.1 인증 획득

그 이후

현재도 오픈소스 컴플라이언스 활동 지속
해외 퍼블리셔/지사에서 서비스하는 프로덕트도 검증 및 고지 완료
사내 Stackoverflow 서비스에 [오픈소스 지식채널]을 만들어서 질의 응답하고 있음

Q&A

설문조사 참여율을 어떻게 높였는지?
- 강제성 없이 설문조사했을 때에는 30%의 참여율을 보였으나, 더이상 권장하지는 않았음
- 전사 교육 시행 시 설문조사까지 완료하여야 수료되도록 강제성을 부여했음

Photo Gallery

§3.1 프로그램 기반

Mon, 01 Jan 0001 00:00:00 +0000

§3.1.1 정책

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 1 — 기반 수립 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

오픈소스 정책이 없는 기업은 개발자가 오픈소스 라이선스 의무를 인지하지 못한 채 소프트웨어를 배포하게 되며, 이는 저작권 침해 소송, 소스코드 강제 공개, 거래처 계약 해지 등 심각한 법적·사업적 위험으로 이어질 수 있다. §3.1.1은 이러한 위험을 예방하기 위해 오픈소스 라이선스 컴플라이언스를 관리하는 문서화된 정책을 수립하고, 조직 내 모든 프로그램 참여자가 정책의 존재를 인식할 수 있도록 전파할 것을 요구한다. 이 조항은 ISO/IEC 5230 프로그램 전체의 기반이 되며, 이후 모든 조항(역량·프로세스·산출물 등)은 이 정책 위에서 작동한다.

§3.2.1 외부 문의 대응

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 4 — 운영 체계 수립 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

소프트웨어를 배포하는 기업은 제3자(고객, 오픈소스 저작권자, 연구자 등)로부터 오픈소스 라이선스 컴플라이언스에 관한 문의를 받을 수 있다. 이 문의에 제때 응답하지 못하면 저작권 침해 분쟁으로 확대될 위험이 있다. §3.2.1은 외부 문의를 접수할 수 있는 공개된 연락 수단을 마련하고, 내부적으로는 문의에 체계적으로 대응하기 위한 절차를 문서화하도록 요구한다. 이 조항은 공개 채널(입증자료 3.2.1.1)과 내부 대응 절차(입증자료 3.2.1.2) 두 가지를 모두 갖출 것을 요구한다.

§3.3.1 SBOM

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 3 — 프로세스 구축 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

공급 소프트웨어에 어떤 오픈소스 컴포넌트가 포함되어 있는지 파악하지 못하면 라이선스 의무를 이행할 수 없고 보안 취약점 대응도 불가능하다. §3.3.1은 공급 소프트웨어를 구성하는 오픈소스 컴포넌트를 식별, 추적, 검토, 승인, 보관하는 절차를 수립하고, 그 절차가 실제로 이행되었음을 입증하는 컴포넌트 기록(SBOM)을 유지하도록 요구한다. 이 조항은 오픈소스 라이선스 컴플라이언스와 보안 보증의 핵심 인프라인 SBOM을 운영하는 기반이 된다.

§3.4.1 산출물

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 3 — 프로세스 구축 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

라이선스 의무를 이행하려면 실제로 고지문, 소스코드 패키지 등 컴플라이언스 산출물을 준비하여 소프트웨어와 함께 제공해야 한다. §3.4.1은 식별된 라이선스가 요구하는 컴플라이언스 산출물을 준비하고 공급 소프트웨어와 함께 배포하는 절차, 그리고 산출물 사본을 일정 기간 보관하는 절차를 수립하도록 요구한다. 이 조항은 §3.3 검토·승인 단계의 결과물을 실제 배포와 보관으로 연결하는 단계다.

2. 해야 할 활동

라이선스별로 요구되는 컴플라이언스 산출물(NOTICES 파일, 소스코드 패키지, written offer 등)의 유형을 정의한다.
산출물을 준비하여 공급 소프트웨어와 함께 제공하는 절차를 문서화한다.
배포된 산출물의 사본을 일정 기간 보관하는 절차를 수립하고 문서화한다.
산출물 보관 기간을 정책에 명시한다 (업계 관행: 마지막 배포 후 최소 3년).
보관 절차가 올바르게 수행되었음을 입증하는 기록을 유지한다.

3. 요구사항 및 입증자료

조항 번호	요구사항 (KO)	입증자료
§3.4.1	공급 소프트웨어에 대해 식별된 컴플라이언스 산출물을 생성하기 위한 프로세스가 존재해야 한다.	3.4.1.1 식별된 라이선스가 요구하는 컴플라이언스 산출물을 준비하고, 이를 공급 소프트웨어와 함께 제공하기 위한 프로세스를 설명하는 문서화된 절차 3.4.1.2 공급 소프트웨어의 컴플라이언스 산출물 사본을 보관하기 위한 문서화된 절차. 이러한 절차가 올바르게 수행되었음을 입증하는 기록이 존재해야 함

영문 원문 보기

§3.4.1 Compliance Artifacts A process shall exist for creating the identified compliance artifacts for the supplied software.

Verification Material(s): 3.4.1.1 A documented procedure that describes the process under which the compliance artifacts are prepared and distributed with the supplied software as required by the identified licenses. 3.4.1.2 A documented procedure for archiving copies of the compliance artifacts of the supplied software - where the archive is planned to exist for a reasonable period of time since the last offer of the supplied software; at least 3 years is a common practice.

§3.5.1 기여

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 4 — 운영 체계 수립 단계에서 구축합니다. 외부 오픈소스 프로젝트 기여를 허용하지 않는 기업은 이 조항을 건너뛸 수 있습니다. 전체 구축 로드맵 보기

1. 조항 개요

많은 기업이 외부 오픈소스 프로젝트에 코드·문서·버그 리포트 등을 기여한다. 기여 활동은 커뮤니티 신뢰를 높이고 기술 영향력을 확대하지만, 회사 코드나 특허가 의도치 않게 공개될 수 있는 리스크도 수반한다. §3.5.1은 조직이 외부 오픈소스 기여를 허용하는 경우, 기여를 규율하는 문서화된 정책과 절차를 수립하고 프로그램 참여자가 그 존재를 인식하도록 할 것을 요구한다. 이 조항은 기여를 허용하지 않는 조직에는 적용되지 않으나, 허용하는 경우 세 가지 입증자료를 모두 갖추어야 한다.

§3.6.1 적합성

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 5 — 적합성 확인 및 유지 단계에서 구축합니다. Phase 1~4의 모든 입증자료를 갖춘 후 진행합니다. 전체 구축 로드맵 보기

1. 조항 개요

ISO/IEC 5230 인증을 받으려면 §3.1.4에서 정의한 프로그램이 이 규격의 모든 요구사항을 충족한다는 사실을 문서로 확인해야 한다. §3.6.1은 앞서 §3.1부터 §3.5까지의 모든 조항을 충족하였음을 공식적으로 선언하는 단계다. 이 조항은 규격 준수를 완결 짓는 최종 확인 절차로, 프로그램이 ISO/IEC 5230:2020 버전 2.1의 모든 요구사항을 만족한다는 조직의 공식 확인이 필요하다.

0. OpenChain 살펴보기

Mon, 01 Jan 0001 00:00:00 +0000

이 섹션이 다루는 내용

OpenChain Project의 설립 배경, OpenChain 규격이 ISO/IEC 5230, ISO/IEC 18974 국제 표준으로 등록된 과정, 표준 인증의 세 가지 방법(자가 인증, 독립 평가, 제3자 인증), 글로벌·국내 기업의 적용 추세를 정리합니다. 이 섹션은 본 가이드의 도입부로, 다음 섹션부터 구체적인 준수 방법을 다룹니다.

1. OpenChain Project란?

오늘날 소프트웨어는 갈수록 그 규모와 복잡도가 커지고 있습니다. 하나의 소프트웨어를 개발하기 위해서는 자체 개발한 소프트웨어뿐 아니라 오픈소스, 타사 소프트웨어_{3rd party software}, 벤더의 SDK 등 소프트웨어 공급망에 걸친 다양한 소프트웨어가 사용될 수 있습니다.

13th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

일정: 2022-03-16 (수) 오후2시~4시
장소: Zoom (접속 방법은 별도 메일 공지)

Agenda

No	Agenda	Speaker	Slide
1	OpenChain Update	Shane Coughlan, Linux Foundation	-
2	OpenChain KWG Update	장학성, SK텔레콤	pdf
3	오픈소스 최신 동향 - 러시아의 우크라이나 침공을 대하는 오픈소스 생태계의 움직임	황민호(Robin), 카카오	pdf
4	카카오와 카카오뱅크의 ISO/IEC 5230 인증 사례 공유	황은경(violet), 카카오 하헌관(arlo), 이민애(may) 카카오뱅크	pdf pdf
5	현대모비스 오픈소스 관리체계 및 현안	전미진, 현대모비스	pdf
6	오픈소스 라이선스 사전/실시간 검증도구 오픈소스화 추진계획	정윤환/홍문기, 삼성전자	pdf
7	소그룹 모임 (Case Study)	All	-

Video

OpenChain Update

OpenChain KWG Update

오픈소스 최신 동향

카카오와 카카오뱅크의 ISO/IEC 5230 인증 사례 공유

현대모비스 오픈소스 관리체계 및 현안

오픈소스 라이선스 사전/실시간 검증도구 오픈소스화 추진계획

Minutes

OpenChain Update (Shane Coughlan / Linux Foundation)

OpenChain ISO/IEC 5230 Conformance 신규 인증 기업
- BlackBerry
- SAP
OpenChain Governing Board 신규 가입 기업
- NEC
- Block
오픈소스 보안 취약점에 대한 표준안 제정
- Security Specification Draft 버전 작성
- 글로벌 커뮤니티에서 다양한 시각으로 피드백 요청
OpenChain 커뮤니티 활성화 방안 모색
- 한국, 일본 OpenChain 커뮤니티처럼 유럽의 커뮤니티도 활성화될 수 있도록 방안이 모색되어야 함

OpenChain KWG Update (장학성 / SK Telecom)

Planning Group 22년 1분기 모임 진행
- Agenda
  - 1분기 KWG 모임 준비
  - 2022년 Linux Foundation 지원 예산 활용 방안
Tooling Group 1st 모임 진행
- Agenda
  - SCANOSS 소개
  - 사전검증/실시간검증도구 소개
새해 선물 from 현대 모비스 (Thanks to 전미진님,이영준님 :) )
OpenChain 국제 표준 인증 획득
- 카카오
- 카카오뱅크
OpenChain KWG Charter 초안 작성
- 주요 내용으로는 Membership, Organization, 선거 등의 내용으로 정관 문서 작성 중
- 2분기 모임에서 확정 후 시행 예정
- https://korea-wg.openchainproject.org/about/charter/
Blog Update
- 상용 AI 서비스에 공개 Dataset을 사용해도 되나요?

오픈소스 최신 동향 (Robin(황민호) / Kakao)

러시아의 우크라이나 침공을 대하는 오픈소스 생태계
- 최근 글로벌 IT 업계 흐름
  - 아마존, MS, 구글, 오라클 등 글로벌 IT 기업들이 러시아 보이콧에 합류하고 있음
  - 러시아는 IT기업들이 보이콧을 하자 불법복제 SW를 합법화를 추진하였다고 보도함
- 오픈소스 생태계에서의 흐름
  1. OpenBLAS는 러시아산 프로세서 지원을 제거하겠다고 함
    - 관련 GitHub 이슈 링크: https://github.com/xianyi/OpenBLAS/issues/3551
    - 하지만, 커뮤니티 상에서 이슈가 제기된 것이고 실제 지원을 제거하는 계획은 없는 것으로 확인됨
  2. GitHub 공개 피드백 토론
    - GitHub은 러시아 개발자 접근을 제한해야 한다는 공개 토론이 열렸음
    - 러시아의 GitHub 사용자들을 제재하는 것은 올바른 방법은 아니라는 부정적 의견이 대부분이었음
    - GitHub 담당자가 GitHub 정책에 대해 토론 후 종료시킴
    - 참고) 2019년 미-중 무역 전쟁 중에도 GitHub이 무역제재 대상 국가의 접속을 차단하자 중국은 자체적으로 Gitee 라는 사이트를 구축하였음
  3. Scarf 러시아 오픈소스 패키지 엑세스 제한
    - 오픈소스 패키지 배포 제한을 두는 방식으로 보이콧을 표현하였고, 타 패키지 매니저도 참여하기를 희망함
  4. Libreplanet 토론
    - 러시아에 우리 소프트웨어 access를 제한해야 하는가 라는 토론이 있었고, 리차드 스톨만은 FSF의 4가지 자유에 따라 프로그램 실행의 자유를 제한해서는 안된다고 주장함
    - 리차드 스톨만과 다른 입장을 가진 여러 의견도 등장하였음
  5. MeetingBar 오픈소스 프로젝트의 기금 마련 운동
    - MacOS 메뉴바 오픈소스 라이브러리인 MeetingBar 프로젝트에서 우크라이나 군대를 위한 기금 마련 운동 참여

카카오와 카카오뱅크의 ISO/IEC 5230 인증사례 공유 (Violet(황은경) / Kakao, Arlo(하헌관), May(이민애) / KakaoBank)

카카오의 인증사례
- OpenChain Study
  - 2019년부터 스터디는 시작하였고, OpenChain 2.1이 발간된 후부터 본격적으로 스터디 시작
- 이슈 할당
  - 각 Spec 항목별로 Jira 이슈를 할당하였음
  - 기존 정책을 보완해야 할 점들을 정리하였음
- 프로젝트 홀딩
  - OpenChain Specification은 각 항목이 연결되어 있는데, 각 항목별로 담당자를 지정한 것이 문제였음
  - 전체 스펙에서 필요한 것들을 리스트업하고 주제 별로 일을 나누었어야 함
- OpenChain 인증 자료 정리
  - https://haksungjang.github.io/docs/governance_iso5230/를 참고하여 정책 문구나 프로세스를 정리할 수 있었음
  - 보완이 필요한 내용을 따로 정리해서 논의 (OSRB 구성, 문서화된 절차 등)
- 정책 및 프로세스 정리
  - SKT의 자료를 참고하여 Kakao의 내부 규정에 맞게 변경하였음
- OpenChain KWG Conformance Group 리뷰
  - Self Certification 순서대로 내용을 설명하면서 Q&A 진행
  - 주요 Q&A
    - 책임자가 의사결정자로 지정해야 하는가? 조직의 내부 상황에 맞게 지정하면 됨
    - 보안취약점 도구 구축이 필수는 아닌 것 같은데 책임과 역할을 어떻게 정리해야 하는가? ISO 인증 기준에 보안과 관련해 정해진 내용은 없음
    - 오픈소스 전사 가이드를 Wiki에 정리하였는데, 그 외 경로도 필요한지? 구성원이 1년에 한 번 정도는 반드시 열어보게 하는 절차가 있으면 좋을 것임
    - 오픈소스 교육 평가 데이터가 인증서에 필요한가? 자료를 요구하는 경우는 거의 ㅇ벗기도 하지만, 평가 후 기준에 도달하도록 해야 함
    - OSPO는 교육 과정이 따로 필요한가? 필수로 요구되지는 않음
- OpenChain 인증
  - Self Certification 체크 후 OpenChain General Manager인 Shane에게 인증을 알리고 어나운스 해달라는 메일 발송
  - Shane에게 로고와 인용문을 전달
  - PR 담당자와 보도자료 준비하는 과정이 필요하고, OpenChain 웹사이트에 등록할 영문 인용문을 준비해야 함
카카오뱅크의 인증사례
- 오픈소스 도구 검토
  - FOSSID 검토 및 오픈
- 오픈소스 컴플라이언스 프로세스 마련
  - FOSSID API를 활용하여 자동화
  - 고지문 발급 자동화
  - 고지문 웹/앱 테스트 환경
- 오픈소스 조직, 정책, 교육 준비
  - NCSOFT의 OpenChain 인증 사례 발표를 본 후 작년 11월 중순부터 OpenChain 준비
  - Specification의 조직, 정책, 도구, 교육, 프로세스에 대한 항목을 나열하고, 요구사항 충족을 위한 준비
  - 법무 및 보안팀, 기술 전략팀 담당자들과 협의하여 조직 셋업
  - Wiki에 프로세스나 가이드 공개
- KWG 리뷰 및 PR팀 협의, 기타 인터뷰
  - OpenChain KWG 그룹 리뷰 후 PR팀과 협의하여 인증 선언
  - 이후 카카오 내 DevCon에서 발표와 인터뷰도 진행하였음
- Lessons Learned
  - 잘한점: KWG 그룹에 참여하여 빠른 인증 준비가 가능했고, 자동화 환경을 잘 구축하였음
  - 아쉬운점: 사내 교육 시스템이 없어서 직접 교육자료를 만들어서 세미나 형태로 개발자 교육을 했었는데 체계화된 교육이 필요하고, 금융업이다 보니 기여나 공개에 소극적이었음
  - 인증 이후 반응: 국제표준을 획득함으로써 신뢰도가 높아지고 인터뷰를 진행하면서 오픈소스 컴플라이언스에 대해 홍보가 되었음
  - 계획: Olive CLI 도입 및 망분리 금융망 도입

19th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

일정: 2023-09-19 (화) 오후1시30분~5시
장소: 현대오토에버 (서울특별시 강남구 테헤란로 510)

아젠다

세션 0. Intro & Update

Time	Agenda	Speaker	Slide
13:30~13:40	Welcome & Intro	민석기/류창한, 현대오토에버	-
13:40~13:50	OpenChain Global Update	Shane Coughlan, Linux Foundation	-
13:50~14:00	OpenChain KWG Update Legal subgroup 소개	장학성, SK텔레콤 / 이서연, 라인플러스 박정숙, ETRI	slide slide

세션 1. 현대차그룹과 오픈소스

Time	Agenda	Speaker	Slide
14:00~14:10	현대차그룹 오픈소스 리스트 공개를 통한 중소/중견기업 지원 방안	류창한, 현대오토에버	slide
14:10~14:40	현대차그룹 오픈소스 관리시스템 구축 사례 - 현대자동차 - 현대모비스 - 현대오토에버	이창우, 현대자동차 이영준, 현대모비스 이지현, 현대오토에버	slide slide slide
14:40~15:00	네트워킹	ALL	-

세션 2. Best Practice

Time	Agenda	Speaker	Slide
15:00~15:20	LG전자 제품 보안 관리 체계 기반 오픈소스 보안 보증 표준 준수 사례 소개	정재욱, LG전자	slide
15:20~15:40	우당탕탕 LINE의 OpenChain 인증 여정	이서연/김동혁, 라인플러스	slide
15:40~16:00	혼돈의 AI 오픈 소스 라이선스	최혜성, LG전자	slide
16:00~16:20	네트워킹	ALL	-

세션 3. 그룹 토의

Time	Agenda	Speaker	Slide
16:20~17:00	그룹 토의	ALL (진행 : 이서연, 라인플러스)	-

§3.1.2 역량

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 2 — 역량 및 교육 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

오픈소스 프로그램이 실제로 작동하려면 관련 역할을 맡은 사람들이 그 역할을 수행할 역량을 갖추어야 한다. 역할과 책임이 문서에만 적혀 있고 담당자가 오픈소스 라이선스나 보안 취약점 관리에 대한 기본 지식도 없다면, 정책과 프로세스는 유명무실해진다. §3.1.2는 프로그램에 관여하는 역할을 식별하고 각 역할에 필요한 역량을 정의하며, 참여자가 실제로 그 역량을 갖추었는지 평가하고 기록하도록 요구한다. 이 조항은 §3.1.1 정책에서 정의한 역할 구조를 구체적인 역량 체계로 발전시키는 단계다.

§3.2 관련 업무

Mon, 01 Jan 0001 00:00:00 +0000

§3.2.2 효과적 리소스

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 1 — 기반 수립 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

오픈소스 프로그램이 실제로 작동하려면 역할을 정의하는 것만으로는 부족하다. 각 역할을 담당할 실제 인원이 배정되고, 업무 수행에 필요한 시간과 예산이 충분히 지원되어야 한다. §3.2.2는 프로그램 역할별 담당자를 문서로 명시하고, 인원 배치와 예산이 적절히 이루어졌음을 확인하며, 법률 자문 접근 방법과 내부 책임 할당 절차, 미준수 사례 처리 절차를 갖출 것을 요구한다. 이 조항은 5개의 입증자료 항목으로 구성되어 §3.1 프로그램 기반에서 정의한 역할 구조를 실제 운영 체계로 구현하는 단계다.

§3.3.2 라이선스 컴플라이언스

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 3 — 프로세스 구축 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

오픈소스 컴포넌트는 배포 형태(바이너리·소스코드), 수정 여부, 다른 컴포넌트와의 결합 방식에 따라 라이선스 의무가 달라진다. §3.3.2는 공급 소프트웨어에 포함된 오픈소스 컴포넌트에 대해 자주 발생하는 라이선스 사용 사례들을 처리할 수 있는 능력을 프로그램이 갖추도록 요구한다. 이 조항은 단순히 라이선스를 식별하는 것을 넘어, 다양한 배포 시나리오별로 의무 이행 방법을 정의한 절차를 마련하도록 한다.

2. 해야 할 활동

바이너리 형태 배포, 소스코드 형태 배포, 수정된 오픈소스 배포 등 주요 라이선스 사용 사례를 식별하고 각 사례별 처리 절차를 수립한다.
라이선스 충돌(비호환 라이선스 컴포넌트 결합)이 발생했을 때의 처리 방법을 절차에 포함한다.
고지 의무(저작권 고지문, 라이선스 전문 포함)가 필요한 라이선스에 대한 처리 방법을 정의한다.
GPL 등 소스코드 공개 의무가 있는 라이선스가 포함된 소프트웨어의 배포 절차를 수립한다.
절차를 문서화하고 정기적으로 검토하여 새로운 라이선스 유형에 대응한다.

3. 요구사항 및 입증자료

조항 번호	요구사항 (KO)	입증자료
§3.3.2	프로그램은 공급 소프트웨어의 오픈소스 컴포넌트에 대한 일반적인 오픈소스 라이선스 사용 사례를 처리할 수 있어야 한다. 처리해야 할 사용 사례는 바이너리 형태 배포 / 소스코드 형태 배포 / 추가 라이선스 의무를 유발할 수 있는 다른 오픈소스와의 통합 / 수정된 오픈소스 포함 / 공급 소프트웨어 내 다른 컴포넌트와 비호환 라이선스 포함 / 저작권 고지 요건이 있는 오픈소스 포함 등을 포함할 수 있다.	3.3.2.1 공급 소프트웨어 내의 오픈소스 컴포넌트에 대해 일반적인 오픈소스 라이선스 사용 사례를 처리하기 위한 문서화된 절차

영문 원문 보기

§3.3.2 License Compliance The program shall be capable of handling the common open source license use cases for the open source components of the supplied software, which may include the following use cases (note that the list is not exhaustive and some of the below use cases may not apply):

distributed in binary form;

distributed in source form;

integrated with other open source such that it may trigger additional licensing obligations;

contains modified open source;

contains open source or other software under an incompatible license interacting with other components within the supplied software; and/or

contains open source with attribution requirements.

Verification Material(s): 3.3.2.1 A documented procedure for handling the common open source license use cases for the open source components of the supplied software.

§3.6.2 지속 기간

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 5 — 적합성 확인 및 유지 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

ISO/IEC 5230 인증은 한 번 취득으로 영구히 유효하지 않다. 규격의 새 버전이 발행되면 이전 버전 기준으로 인증을 받은 프로그램은 새 버전 발행 후 18개월까지만 적합성이 유지된다. §3.6.2는 프로그램이 적합성 인증을 취득한 날로부터 최근 18개월 이내에 규격의 모든 요구사항을 충족하고 있음을 확인하는 문서를 유지하도록 요구한다. 이 조항은 오픈소스 컴플라이언스 프로그램이 형식적 인증에 그치지 않고 지속적으로 운영되는지 확인하는 장치다.

ISO/IEC 5230 준수 가이드

Mon, 01 Jan 0001 00:00:00 +0000

이 가이드는 ISO/IEC 5230(OpenChain License Compliance)의 각 요구사항 조항을 하나씩 풀어서 설명한다. 각 조항이 요구하는 입증자료가 무엇인지, 어떻게 준수할 수 있는지, 바로 활용할 수 있는 샘플 문서는 무엇인지 안내한다.

Author : OpenChain Korea Work Group / CC BY 4.0

대상 독자

오픈소스 컴플라이언스 담당자 및 오픈소스 프로그램 매니저
처음 오픈소스 관리 체계를 구축하는 신규 담당자
ISO/IEC 5230 인증 취득을 준비 중인 기업의 담당자
기존 오픈소스 관리 체계를 ISO 표준 기준으로 점검하고 싶은 실무자

이 가이드의 활용 방법

기업 오픈소스 관리 가이드와의 관계

이 가이드는 처음 구축하는 담당자와 인증을 준비하는 담당자 모두에게 활용할 수 있다. 아래 단계별 구축 로드맵을 따라가면 구축 순서와 각 단계에서 만들어야 할 산출물을 파악할 수 있고, 각 조항 페이지에서 구체적인 구현 방법과 샘플을 확인할 수 있다.

기업 오픈소스 관리 가이드 는 조직, 정책, 프로세스, 도구, 교육 영역을 실무 관점으로 설명하는 보완 가이드다. 두 가이드의 각 조항·섹션은 서로 교차 링크로 연결되어 있다.

25th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

일정: 2025-03-25 (화) 오후2시~5시
장소: 한국디지털인증협회 (여의도 파크원빌딩 타워2 48층) - https://maps.app.goo.gl/YnxTkz8LjHPXFJBv6

아젠다

Time	Agenda	Speaker	Slide
14:00~14:10	Welcome & Opening	-	-
14:10~14:30	OpenChain Global Update	Shane Coughlan, Linux Foundation	pptx
14:30~14:50	OpenChain Korea Update	SK텔레콤 장학성	slide
14:50~15:00	Lightning Talk 1 - 오픈소스 테크데이 2025 개최 안내	- ETRI 박정숙	pdf
15:00~15:30	모바일신분증 적용 “DID”, 오픈소스 거버넌스 전략과 앞으로의 과제는?	라온시큐어 이미경	pdf
15:30~16:00	Networking	All	-
16:00~16:30	금융결제원의 ISO/IEC 5230:2020 준수 사례	금융결제원 유대열	pdf
16:30~17:00	Lightning Talk 2 - 개발자들도 알아야 할 2024년 오픈소스 결산 - AVM 소송으로 본 오픈소스 사용자 권리 확대와 LGPL-2.1 설치정보 제공의 중요성 - ISO/IEC 18974 기업 도입 및 인증 전략	- 라인플러스 이서연 - SK텔레콤 장학성	pdf AVM소송소개 ISO/IEC18974

28th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

일정: 2025-12-09 (화) 오후2시~4시50분
장소: 한컴타워 (판교 - https://maps.app.goo.gl/Nq3XHZtPrg9Zvtzn7 )

아젠다

Time	Agenda	Speaker	Slide
14:00~14:05	웰컴 & 오프닝	정지환 CTO, 한글과컴퓨터	-
14:05~14:20	OpenChain Update	장학성, SK텔레콤	slide
14:20~14:45	한컴 OpenChain 인증 선언 준비 공유기	류현주, 한글과컴퓨터	pdf
14:45~15:10	오픈PDF 데이터로더 소개 및 AI를 활용한 오픈소스 공개 Tip	이분도, 한글과컴퓨터	pdf
15:10~15:50	네트워킹 (그룹 토의)	All	-
15:50~16:00	텔레칩스의 오픈체인 인증과 남은 과제	연지영, 텔레칩스	pdf
16:00~16:10	Cryptography Bill of Materials (CBOM)에 대해서	채진영, 삼성SDS	-
16:10~16:25	툴링&리걸 그룹 주요 활동 및 리뷰	박원재, LG전자	-
16:25~16:50	2025 리뷰 & 시상	안다래, 삼성전자	slide

§3.1.3 인식

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 2 — 역량 및 교육 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

역할과 역량을 갖춘 참여자라도 오픈소스 프로그램의 목적과 자신의 기여가 전체 컴플라이언스 체계에 어떤 의미를 갖는지 인식하지 못하면 형식적 참여에 그치게 된다. §3.1.3은 프로그램 참여자가 프로그램의 목표, 자신의 기여 방법, 그리고 프로그램을 준수하지 않을 경우 발생하는 결과를 실제로 인식하고 있음을 평가하고 기록할 것을 요구한다. 이 조항은 §3.1.2 역량(지식·기술 보유)의 다음 단계로, 참여자가 보유한 역량을 프로그램 목적과 연결하여 실질적 동기를 형성하는 단계다.

§3.3 콘텐츠 검토 및 승인

Mon, 01 Jan 0001 00:00:00 +0000

AI SBOM 컴플라이언스 가이드

Mon, 01 Jan 0001 00:00:00 +0000

이 가이드는 OpenChain AI Work Group이 펴낸 AI System Bill of Materials — Compliance Management Guide for the Supply Chain(Version 1.0)의 각 요구사항을 하나씩 풀어서 설명한다. 각 조항이 요구하는 입증자료가 무엇인지, 어떻게 준수할 수 있는지, 바로 활용할 수 있는 샘플과 도구는 무엇인지 안내한다.

이 규격은 오픈소스 라이선스 컴플라이언스 표준 ISO/IEC 5230과 같은 구조(요구사항, 검증 자료, 근거)를 AI 공급망으로 옮긴 것이다. 코드뿐 아니라 모델 가중치, 학습 데이터셋, 모델 트리(Model Tree)의 라이선스와 투명성 의무까지 컴플라이언스 대상으로 끌어들인다.

§3.1.4 프로그램 범위

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 1 — 기반 수립 단계에서 구축합니다. 범위를 먼저 정해야 이후 정책·조직 구성의 적용 대상이 결정됩니다. 전체 구축 로드맵 보기

1. 조항 개요

오픈소스 프로그램이 조직 전체에 적용되는지, 특정 제품군이나 사업 단위에만 적용되는지 명확하지 않으면 컴플라이언스 활동의 경계가 모호해지고 책임 소재가 불분명해진다. §3.1.4는 오픈소스 프로그램이 어떤 소프트웨어·조직 단위·배포 채널에 적용되는지, 그리고 어디까지가 적용 범위 밖인지를 명확하게 정의한 문서화된 진술을 요구한다. 적용 범위는 조직의 규모와 비즈니스 모델에 따라 다를 수 있으며, 이 조항은 그 선택을 명시적으로 기록하도록 한다.

§3.4 컴플라이언스 산출물

Mon, 01 Jan 0001 00:00:00 +0000

§3.1.5 라이선스 의무

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 3 — 프로세스 구축 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

오픈소스 컴포넌트를 소프트웨어에 포함할 때 가장 핵심적인 작업은 해당 컴포넌트에 적용된 라이선스가 부과하는 의무·제한·권리를 정확히 파악하는 것이다. 라이선스 의무를 검토하지 않고 배포하면 소스코드 강제 공개, 저작권 고지 누락, 특허 조항 위반 등 심각한 법적 리스크가 발생할 수 있다. §3.1.5는 식별된 모든 라이선스에 대해 의무·제한·권리를 검토하고 기록하는 절차를 수립하도록 요구한다. 이 절차는 §3.3.2 라이선스 컴플라이언스 프로세스의 토대가 된다.

§3.5 커뮤니티 참여

Mon, 01 Jan 0001 00:00:00 +0000

ISO/IEC 5230 vs 18974 비교

Mon, 01 Jan 0001 00:00:00 +0000

1. 두 표준의 관계

ISO/IEC 5230과 ISO/IEC 18974는 모두 OpenChain 프로젝트가 주도하는 오픈소스 관련 국제 표준이지만, 서로 다른 문제를 다룬다. 5230은 오픈소스 라이선스 컴플라이언스(저작권 의무 이행, SBOM 관리, 컴플라이언스 산출물 배포)를 다루고, 18974는 오픈소스 보안 보증(취약점 탐지, 평가, 대응, CVD)을 다룬다. 두 표준은 완전한 상위·하위 집합 관계가 아니다. 정책, 역량, SBOM 등 9개 공통 조항을 공유하되, 5230에만 있는 조항(라이선스 컴플라이언스·산출물·기여)과 18974에만 있는 조항(표준 관행 구현·보안 보증)이 각각 존재한다.

두 표준을 동시에 준수하면 라이선스 의무 이행과 보안 취약점 관리를 하나의 통합 오픈소스 프로그램으로 운영할 수 있다. 공통 기반 문서(정책·역량 기록·SBOM 절차)는 한 번 작성으로 두 표준에 동시 활용되므로, 5230 인증 후 18974를 추가로 준비하는 데 드는 실질적 추가 작업량은 전체의 30~40% 수준이다.

§3.6 규격 준수

Mon, 01 Jan 0001 00:00:00 +0000

2024-12-13 ISO 5230과 ISO 18974가 법률 전문가에게 미치는 영향과 2024년 전망

Fri, 13 Dec 2024 00:00:00 +0000

source: https://openchainproject.org/news/2024/12/04/webinar-enabling-sboms-across-the-linux-foundation

1. 발표자 소개

이번 웨비나의 발표자는 OpenChain 프로젝트의 주요 멤버로, 오픈소스 라이선스 준수 및 보안 표준화에 깊은 전문성을 가진 전문가입니다. 그는 ISO/IEC 5230:2020 및 ISO/IEC 18974:2023 표준 개발 과정에 직접 참여했으며, 관련 법률 및 산업적 적용에 대한 풍부한 경험을 보유하고 있습니다.

2. 웨비나 소개와 목적

이 웨비나는 ISO/IEC 5230(오픈소스 라이선스 준수)와 ISO/IEC 18974(오픈소스 보안 보증)가 법률 전문가들에게 미칠 영향을 중심으로 진행되었습니다. 특히, 2024년을 기준으로 이 표준들이 기업의 조달 협상, 인수합병(M&A), 공급망 관리에 어떤 변화를 가져올지에 대해 다루었습니다.

2024-12-04 OpenChain ISO 표준이 InnerSource를 지원하는 방법 이해하기

Wed, 04 Dec 2024 00:00:00 +0000

source: https://openchainproject.org/news/2024/12/04/full-recording-understanding-how-openchain-iso-iec-5230-and-iso-iec-18974-support-innersource-innersource-commons-summit-2024

1. 발표자 소개

Shane Coughlan은 OpenChain Project의 General Manager로, 오픈소스 표준화와 관련된 글로벌 리더십을 제공하고 있습니다. 그는 오픈소스 생태계에서의 라이선스 준수 및 보안 보증을 위한 국제 표준 개발에 주력하며, InnerSource와 같은 새로운 소프트웨어 개발 방식에도 이를 적용하는 방법을 모색하고 있습니다.

2. 웨비나 소개와 목적

이번 웨비나는 InnerSource Commons Summit 2024에서 진행된 세션으로, OpenChain ISO/IEC 5230(오픈소스 라이선스 준수 국제 표준)와 ISO/IEC 18974(오픈소스 보안 보증 국제 표준)가 InnerSource 프로그램에 어떻게 기여할 수 있는지를 다룹니다.

SKT, 오픈소스 컴플라이언스 분야 ISO 국제인증 획득

Thu, 09 Sep 2021 00:00:00 +0000

SK telecom

SK텔레콤이 ‘오픈소스’ 활용을 위한 체계적 관리(컴플라이언스) 시스템을 갖췄음을 국제적으로 인정받았다.

SK텔레콤(대표이사 박정호, www.sktelecom.com)은 국제표준화기구(ISO, Interna-tional Organization for Standardization)로부터 오픈소스 컴플라이언스 관련 표준인증(ISO/IEC 5230)을 획득했다고 9일 밝혔다.

자세한 내용은 기사 원문에서 확인하세요. : https://news.sktelecom.com/147961

삼성전자, 오픈소스 국제 표준 인증 획득

Thu, 08 Jul 2021 00:00:00 +0000

삼성전자가 ‘오픈체인(OpenChain) 프로젝트’의 표준 준수 기업으로 국제 인증(ISO/IEC 5230:2020)을 획득했다.

‘오픈체인 프로젝트’는 2016년 미국의 비영리단체인 리눅스 재단(Linux Foundation)의 주도로 시작됐으며, 효과적이고 일관성 있는 오픈소스 컴플라이언스 체계를 갖추고 있는 기업들에게 인증을 부여한다.

‘오픈체인 프로젝트’는 오픈소스 컴플라이언스 역량 평가 항목으로 각 기업의 ▲사내 정책과 시스템의 적정성 ▲담당 조직과 인력의 전문성 ▲사내 구성원의 교육 수행 여부 등에 대해 기준 충족 여부를 심사한다.

OpenChain

삼성전자는 이번 인증 획득으로 오픈소스 활용 역량을 인정 받아 자사 소프트웨어의 공신력을 높일 것으로 기대하고 있다.

OpenChain, ISO 표준 등록

Wed, 16 Dec 2020 00:00:00 +0000

지난 2020년 12월 15일, OpenChain 규격 2.1이 국제 표준인 ISO/IEC 5230:2020로 공식 Publication 되었습니다.

이에 대한 자세한 사항은 다음 기사를 참고하시기 바랍니다. : https://www.einpresswire.com/article/532735099/iso-iec-5230-2020