ISO/IEC 5230

ISO/IEC 5230

OpenChain ISO/IEC 5230:2020은 고품질 오픈 소스 라이센스 컴플라이언스 프로그램의 주요 요구 사항에 대한 국제 표준입니다.이 표준은 국제 표준화 기구(ISO)와 국제 전기 기술 위원회(IEC)가 2020년 말에 공동으로 발표했습니다.이 표준은 Linux Foundation OpenChain 사양 2.1을 기반으로 합니다.소프트웨어 공급망, 손쉬운 조달 및 라이센스 컴플라이언스에 중점을 둡니다.표준의 요구사항을 충족하는 조직은 공인 인증 기관으로부터 또는 [1][2][3][4]감사를 성공적으로 완료한 후 ISO/IEC 17021에 따라 자체 인증을 받을 수 있습니다.

표준 작동 방식

대부분의 조직 및 소프트웨어 제품은 프레임워크, 라이브러리 및 컨테이너와 같은 타사에서 만든 다양한 오픈 소스 구성 요소에 의존합니다.이는 실제 환경의 공급망과 유사하며, 운영, 법률 및 보안 측면에서 공급망을 최대한 안정적으로 유지하는 것이 중요합니다.이러한 전제 하에 많은 기업들이 조직이 운영하는 공급망의 어느 수준에서든지 오픈 소스 소프트웨어를 다룰 수 있는 기본 규칙을 수립하기로 결정했습니다.리눅스 재단 산하의 작업 그룹, 오픈체인 프로젝트.나중에 2.0 버전에 도달했을 때 ISO/IEC 표준으로 승인을 받기 위해 표준이 제시되었습니다.

표준에 따르면 오픈 소스 구성 요소를 효과적으로 사용하려면 조직은 관련된 모든 구성 요소, 관련 오픈 소스 라이센스 및 카피레프트와 같은 의무를 인식하고 준수해야 합니다.ISO/IEC 5230은 품질 오픈 소스 컴플라이언스 프로그램 내에서 해결해야 할 사항에 대한 규범적이지 않은 공통 이해를 확립하는 것을 목표로 합니다.따라서 ISO/IEC 5230은 여러 산업 및 조직에 걸쳐 적용 가능하며, 법적 계약 및 조달에서 오픈 소스 소프트웨어는 매우 번거로운 경향이 있기 때문에 조달 및 소프트웨어 공급망에 이점을 제공합니다.

ISO/IEC 5230 및 OpenChain-2.1에서 다루는 주요 주제는 다음과 같습니다.

  • 오픈 소스 정책의 존재
  • 프로그램 참가자의 역량(예: 특정 업무에 대한 법률 교육).
  • 모든 프로그램 참가자의 오픈 소스 위험에 대한 인식
  • 명확하게 정의된 범위(예: 지정된 영역 및 제품 라인만 해당)
  • 관련 사용 사례에 대한 라이센스 의무를 이해하고 수집합니다.
  • 외부 오픈 소스 요청에 대한 액세스(예: OSS 작성자에 대한 액세스).
  • 충분한 리소스를 갖춘 컴플라이언스 사무소
  • BOM 생성
  • 라이센스 컴플라이언스 프로세스(예: 의무를 충족하는 문서)
  • 컴플라이언스 아티팩트 보관 및 프로비저닝
  • 지역사회 참여 및 기여 지침

ISO/IEC 5230에서는 스니펫 검사, 선언된 오픈 소스 라이센스의 재검증 여부 및 규정 준수 아티팩트의 모양과 같은 대부분의 작업이 정확히 수행되는 방식을 정의하지 않습니다.그러나 SPDX는 현재 ISO 표준(ISO/IEC 5962)이며, ISO/IEC 5230에서 준수 아티팩트의 예로 언급되어 있습니다.

인증

OpenChain ISO/IEC 5230 사양은 품질 오픈 소스 컴플라이언스 프로그램의 주요 요구 사항을 식별합니다.조직은 OpenChain Compliance를 통해 이러한 요구사항을 충족한다는 것을 보여줄 수 있습니다.ISO/IEC 5230 준수 인증은 세 가지 방법으로 달성할 수 있으며, 모든 규모의 조직과 프로그램 성숙도를 위한 경로를 제공합니다.

본인인증

OpenChain 커뮤니티는 조직이 OpenChain 사양 준수를 평가하는 데 사용할 수 있는 무료 온라인 자체 평가 체크리스트를 제공합니다.설문지는 오픈 소스 컴플라이언스와 관련된 정책, 절차 및 문서를 포함하여 조직의 소프트웨어 공급망 관리 관행의 다양한 측면을 다룹니다.

조직은 OpenChain 자체 평가 설문지를 사용하여 오픈 소스 컴플라이언스 프로그램의 효과와 완성도를 평가하고, 개선해야 할 부분을 파악하고, 시정 조치를 취할 수 있습니다.설문지는 조직의 컴플라이언스 프로그램을 정기적으로 평가하고 유지하기 위한 내부 상태 점검 도구로도 사용할 수 있습니다.

조직이 자체 평가 설문지를 완료하면 OpenChain Project에 정보를 제공하고 OpenChain Project 웹 사이트에 나열되도록 선택할 수 있습니다.그러나 평가의 진행 상황과 결과는 조직이 출판을 위해 제출하기로 결정할 때까지 비공개입니다.따라서 조직은 잠재적인 문제나 규정 준수 노력의 차이를 공표하지 않고도 오픈 소스 규정 준수 프로그램에 대한 철저한 자체 평가를 수행할 수 있습니다.

독립평가

고품질 오픈 소스 컴플라이언스 프로그램에 대한 독립적인 평가를 통해 추가적인 보증, 책임, 업무 분리 및 엔터프라이즈 리스크 관리와의 연계를 수행할 수 있습니다.

독립적인 평가는 일반적으로 평가 대상인 오픈 소스 프로그램과는 독립적이지만 조직 또는 회사 내의 개인 또는 외부 조직 또는 회사의 개인에 의해 수행됩니다.독립적인 평가의 구성요소는 다음을 포함할 수 있습니다.

  1. 자체 평가 설문지:자체 평가 설문지는 조직이 오픈 체인 사양을 준수하는지 평가하는 데 도움이 되는 일련의 질문입니다.설문지는 조직의 소프트웨어 공급망 관리 프로세스 및 관행의 다양한 측면을 다룹니다.
  2. 문서 검토:평가관은 조직이 자체 인증을 지원하기 위해 준비한 문서를 검토합니다.여기에는 조직의 소프트웨어 공급망 관리 관행과 관련된 정책, 절차, 지침 및 기타 문서가 포함됩니다.
  3. 인터뷰:평가관은 조직의 소프트웨어 공급망 관리 관행을 더 잘 이해하기 위해 조직 내 주요 인력과 인터뷰를 실시합니다.이를 통해 평가관은 조직이 오픈 체인 사양을 준수하는 데 있어 격차나 약점을 파악할 수 있습니다.
  4. 평가 보고서:평가관은 평가 결과를 문서화한 보고서를 준비합니다.이 보고서는 OpenChain 사양을 준수하지 않는 모든 항목을 식별하고 이러한 규정 준수 문제를 해결하기 위한 권장 사항을 제공합니다.
  5. 인증:조직이 OpenChain 사양 준수를 성공적으로 입증한 경우, 평가관은 준수 인증서를 발급합니다.인증서는 조직이 OpenChain 사양의 요구 사항을 충족하고 OpenChain 적합성 마크를 사용할 권한이 있음을 나타냅니다.

타사 인증

OpenChain ISO/IEC 5230에 대한 타사 인증은 OpenChain 파트너 웹 사이트에 나열된 OpenChain 타사 인증자가 수행할 수 있습니다.선택적으로, 제3자는 전 세계의 수많은 등록 기관에 의해 인증을 받을 수 있습니다.국가에 따라 인증 기관, 등록 기관, 평가 및 등록 기관, 인증/등록 기관 또는 등록 기관이라고 할 수 있습니다.

인증 프로세스에는 ISO/IEC 5230에 명시된 요구사항에 대한 조직의 오픈 소스 컴플라이언스 프로그램에 대한 외부 감사가 포함됩니다.초기 인증은 ISO/IEC 17021에 정의된 2단계로 수행됩니다.첫 번째 단계는 조직의 오픈 소스 정책, 정리 프로세스 및 인력 배치와 같은 핵심 문서의 존재, 설계 및 완성도를 평가하는 오픈 소스 컴플라이언스 프로그램의 문서 검토입니다.두 번째 단계는 감사로, 오픈 소스 컴플라이언스 프로그램이 적절하게 구현되어 운영 중인 증거에 대해 독립적으로 감사됩니다.이 단계를 통과하면 이해 당사자와 공유하고 회사 웹사이트에 표시할 수 있는 외부 인증 기관으로부터 인증서를 받게 됩니다.

인증 후, 조직은 품질 오픈 소스 컴플라이언스 프로그램이 지정되고 의도한 대로 계속 작동하는지 확인하기 위해 정기적인 감시 감사 및 재인증 감사를 통해 해당 등록 기관이 명시한 표준을 준수하도록 유지해야 합니다.이러한 후속 검토 또는 감사를 통해 조직은 개선해야 할 부분을 파악하고 표준의 요구사항을 지속적으로 충족할 수 있습니다.

전반적으로 ISO/IEC 5230 준수 인증은 조직이 고품질 오픈 소스 준수 프로그램을 구현했으며 지속적인 표준 준수에 전념하고 있다는 독립적인 검증을 제공합니다.인증 프로세스를 통해 조직은 컴플라이언스 프로그램의 격차를 파악하고 오픈 소스 컴플라이언스 관행을 개선하기 위한 시정 조치를 취할 수 있습니다.

보급

2020년 10월 19일, 이클립스 재단은 ISO/IEC 5230에 인증된 [5]최초의 오픈 소스 재단이라고 발표했습니다.SAP, 도시바, 삼성전자, LG전자 등 여러 기업이 공개적으로 오픈체인 준수를 발표했습니다.

외부 링크

원천

이 기사의 첫 번째 버전은 독일어 위키백과의 기사에서 번역되었습니다.

레퍼런스

  1. ^ Coughlan, Shane (2022). "Transforming the Supply Chain with Openchain Iso 5230". Open Source Law, Policy and Practice. pp. 141–C6.P28. doi:10.1093/oso/9780198862345.003.0006. ISBN 978-0-19-886234-5.
  2. ^ McClurg, John (May 2022). "A New Level of Trust: Corporate-Wide OpenChain ISO/IEC 5230:2020 Conformance". Security. Vol. 59, no. 5. Troy. p. 25. ProQuest 2666597005.
  3. ^ "Toyota Is The First Company To Announce Adoption Of ISO/IEC 5230, The International Standard For Open Source Compliance" (Press release). 15 December 2020. ProQuest 2470636334.
  4. ^ "Liferay Announces OpenChain Conformance". Investment Weekly News. 16 November 2019. p. 354. ProQuest A605360074.
  5. ^ Möbus, Maika (2021-10-20). "Open Source: Eclipse Foundation erreicht OpenChain-Konformität". Heise online. Retrieved 2022-11-24.