오픈 소스 소프트웨어 준수: 어떤 드라이브 라이센스 위험?

오픈 소스 소프트웨어는 일반적으로 두 가지 넓은 범주로 떨어지는 라이센스 아래에서 작동합니다 : 허용 된 라이선스 및 복사 왼쪽 라이센스. MIT 또는 Apache 2.0과 같은 허용된 라이센스는 일반적으로 최소한의 제한으로 사용, 수정 및 상업 배포를 허용합니다. 보통 권한 통지만 보장하거나 보존해야 합니다. GPL 또는 AGPL과 같은 복사된 라이선스는 소스 코드를 공개하고 소프트웨어를 배포하는 경우 동일한 라이센스 조건에서 파생 작품을 만들 수 있는 의무가 포함되어 있습니다.

기업의 위험 노출은 각 라이센스 유형과 상호 작용하는 방법에 따라 다릅니다. 오픈 소스 코드를 포함하는 소프트웨어를 배포할 때, 일반적으로 라이센스 의무를 트리거합니다. 오픈 소스 소프트웨어를 배포하지 않고 내부적으로 사용한다면, 귀하의 의무는 AGPL과 같은 일부 라이센스가 좁아질 수 있지만 네트워크 액세스 가능한 소프트웨어에도 불구 하 게 부과됩니다. 사용 자세를 분류하거나 라이센스가 부여되는 추적에 실패하면 코드베이스는 시행 행동이 악용하는 기본 취약점을 만듭니다.

실제 출발점은 공급망 및 개발 관행을 감사하는 것입니다. 많은 기업들은 인수가 결실 또는 개방형 소스 기반이나 저작권 보유자로부터 정지 및 파생 편지에 응답할 때 준수 격차를 발견합니다. 라이센스 분쟁의 조기 식별, 누락 된 attribution 또는 undisclosed 소스 코드는 법적 및 엔지니어링 팀을 세 번째 당사자가 발생하기 전에 중급 할 수 있습니다.

효과적인 감사는 패키지 관리자, 컨테이너 이미지 및 타사 라이브러리를 통해 끌어당기는 의존성을 포함하여 코드베이스의 모든 오픈 소스 구성 요소를 식별하는 것으로 시작합니다. 많은 기업은 알려진 오픈 소스 라이센스 데이터베이스에 대한 저장소 및 플래그 구성 요소를 스캔하는 소프트웨어 조성 분석 도구에서 의존합니다. 이 기술 단계는 법적인 팀이 특정 라이센스 약관 및 의무에 지도할 수 있는 자료를 빌려줍니다.

Copyleft 라이센스는 소스 코드를 공개하거나 사용자를 위한 메커니즘을 제공해야 하기 때문에 가장 복잡한 준수 의무를 만듭니다. GPL 버전 2 및 3, 예를 들어 GPL 코드를 포함하는 소프트웨어를 배포하는 경우, 당신은 또한 당신의 수정과 동일한 라이센스 기간의 밑에 GPL 라이선스 된 구성 요소에 대한 소스 코드 제공 또는 제공해야합니다. AGPL은 네트워크 접근 가능한 소프트웨어에 이 요구 사항을 확장하고, 심지어 소프트웨어를 배포하지 않는 경우에도 네트워크를 통해 상호 작용하는 사용자에게 소스 코드 액세스를 제공 할 수 있습니다.

기업의 유통 모델은 copyleft 의무가 방아쇠를 인지 여부 결정합니다. GPL 코드를 독점 제품 및 판매 또는 배포하는 경우, 당신은 가능성이 GPL 공개 의무를 유발합니다. GPL 코드를 사용한다면 내부 도구 또는 서비스만 직원에 의해 접근, 노출이 더 좁아질 수 있지만 AGPL은 특히 이 시나리오를 대상으로합니다.

하나의 실용적인 전략은 별도의 모듈 또는 컨테이너에 GPL-licensed 구성 요소를 분리하고 소스 코드 공개가 가능한지 여부를 파악하는 데 사용할 수 있습니다. 일부 법인은 GPL 의존성을 변경하여 잘못된 의무를 방지하기 위해 허용한 대안을 대체하도록 선택합니다. 다른 사람은 그들의 사업 모형의 부분으로 copyleft 조건을 받아들이고 근원 부호 호스팅과 표준 연습으로 공시 기계장치를 실행합니다. 귀하의 준수 접근에 대한 투명성은 시행 위험을 감소시킵니다.

감사가 누락 된 attribution, undisclosed 소스 코드와 같은 준수 격차를 공개하거나 incompatible 라이센스의 사용은 크게 중요하게 생각합니다. Prompt 작업은 좋은 믿음을 보여 주며, 오픈 소스 유지자 및 저작권 소유자를 포함한 제 3 자에 대해 영향을 줄 수 있습니다. 조직의 자세를보십시오.

지속 가능한 준수는 귀사의 소프트웨어 개발 수명주기에 오픈 소스 라이센스 관리가 적용된 것을 요구합니다. 한 번 감사는 스냅 샷을 제공하지만, 그들은 미래의 격차를 방지하지 않습니다. 엔지니어링팀이 채택 시점에서 문서 오픈소스 의존성을 요구하는 정책 수립 자동 스캔 도구를 사용하여 연속 통합 및 배포 파이프라인을 새로운 또는 업데이트 된 구성 요소를 플래그로 사용하여 새 라이센스 의무를 도입합니다. 라이센스 카테고리에 개발자를 훈련, 공개 요구 사항 및 복사 금지 면허를위한 회사의 위험 허용.

Codebase가 여러 가지 목적을 위해 개발된 소프트웨어 빌(Software Bill)을 유지하고 업데이트합니다. 그것은 당신의 자신의 수락 감사를 지원, 당신은 오픈 소스 구성 요소에 보안 취약점으로 신속하게 응답 할 수 있으며 고객 및 파트너에게 투명성을 제공 그들은 그들의 자신의 준수 요구 사항을 가질 수있다. 다른 법적 의무와 함께 오픈 소스 준수의 교차점을 고려, 등 ADA 준수 요구 사항, 배포 또는 문서 소프트웨어에 영향을 미칠 수 있습니다.

많은 기업들은 기부, 후원 또는 오픈 소스 재단에 참여하여 개방적인 근원 커뮤니티와 함께 활동합니다. 이 참여는 유지 보수자, 라이센스 관리인의 가시성을 얻고 조직이 오픈 소스를 공동 생태계로 공개하는 것을 거부하여 준수 자세를 향상시킬 수 있습니다. 활동 참여 오픈 소스 소프트웨어 지역 사회는 또한 조직이 라이센스 변경 및 신흥 규정에 대해 알려줍니다.

당신의 준수 전략은 현재 코디베이스의 명확한 감사와 미래의 격차를 방지하는 앞으로의 판단 지배구조를 시작해야 합니다. 이 웹 사이트는 귀하가 웹 사이트를 탐색하는 동안 귀하의 경험을 향상시키기 위해 쿠키를 사용합니다. 이러한 쿠키들 중에서 필요에 따라 분류 된 쿠키는 웹 사이트의 기본적인 기능을 수행하는 데 필수적이므로 브라우저에 저장됩니다. 또한이 웹 사이트에서 볼 수있는 더 나은 방법을 설명해드립니다.