주간기술동향 2018. 10. 3. OSS 거버넌스동향과라이선스분석툴 * 박정현박영식 * 김현기 * 김영길 ** 한국전자통신연구원책임연구원한국전자통신연구원실장 * 한국전자통신연구원그룹장 ** I. 서론 기술및제품개발시간단축과비용절감, 기술종속성탈피, 그외자유롭게사용할수있는권리와절약된노력으로기술과제품개발수준향상등 OSS(Open Source Software) 활용목적은분명하기에 OSS 활용은계속증가할것으로기대된다. 실제현재 70% 이상의기업에서기술과제품을개발하는데 OSS를활용하고있는것으로조사되고있으며 [3], 앞으로 4차산업혁명시대를맞이하면서 IoT, AI, 빅데이터, 클라우드컴퓨팅, 차세대모바일기술등신기술분야에서오픈소스활용은더욱확대될것으로보인다. 이렇듯빠른기술변화와소프트웨어패러다임변화속에서 ICBM( 사물인터넷, 클라우드, 빅데이터, 모바일 ) 을활용한산업혁신이필요한상황에직면한기업에서의 OSS 활용증대는더욱가속화될것으로기대된다. 정부및공공기관에서도정보화사업수행에있어활용되는 OSS 규정및지침을제시하고, 정보화사업단계별관리 점검가이드 3.0을기반으로공개소프트웨어의관리요소및고려사항을보완한거버넌스가이드를제시하고있다 [6]-[8]. ICT 분야에서다양한 R&D 과제를수행하는 ETRI에서도 SW 개발이나아웃소싱을통한기술개발에서오픈소스사용비중은점점늘어나고있는실정이다. 이에본고에서는새로운기술과제품개발에서 OSS 활용증대에따라조직에서더욱요구되는 OSS 거버넌스와라이선스분석및검증툴을조사하였다. 본고에서는 I장에서는 OSS 거버넌스필요성, II장에서는국내외기업의 OSS 거버넌스동향, III장에서는 OSS 라이선스분석및검증을위해사용가능한툴동향, IV장에서전체내용을요약한다. * 본내용은박정현책임연구원 (042-860-5512 jh-park@etri.re.kr) 에게문의하시기바랍니다. ** 본내용은필자의주관적인의견이며 IITP 의공식적인입장이아님을밝힙니다. 14 www.iitp.kr
ICT 신기술 II. OSS 거버넌스동향 1. 국내 가. KT DS KT DS는 2006년부터오픈소스도입에대한검토를진행해서 2010년 11월에오픈소스마스터플랜을수립하였고, 2011년 Pilot 시범운영을통해표준을준비한후, 2013년부터 Roadmap 준비를통해현재까지오픈소스도입확산을진행해오고있다. KT DS의오픈소스도입체계는기업의비용절감측면에서전략적으로탑다운 (Top-Down) 형태를띠고있으나기본적으로비즈니스영역증대가고려되고가치제공측면, 자원관리측면, 위험관리측면, 성과측면, 전략적연계측면이고려된거버넌스체계를갖추고있다. KT DS는오픈소스도입을위한프로세스와조직그리고툴을이미구축하여진행해오고있으며, 오픈소스조사, 평가, PoC(Proof of Concept), Pilot, 도입의사결정, 전사적용, 기술지원, 업그레이드및폐기등 8 단계의오픈소스도입라이프사이클을운영해오고있다. 이외 KT DS는오픈소스관련조직운영을통해거버넌스기능, 개발 / 운영기능, 기술지원기능, 관련기술교육등서비스기능, 오픈소스제품품질보증지원기능등을커버하고있다. 나. LG 전자 LG 전자는 OSS 거버넌스를위해공개 SW 라이선스컴플라이언스라는이름으로 OSS를위한조직구성, 프로세스및정책수립, 그리고툴을구축하여운영해오고있다. 조직으로는전사적으로오픈소스컴플라이언스팀을구성하고팀의총괄지원아래사업부별오픈소스컴플라이언스담당자가있다. 전사적팀에서는현재 6명이컴플라이언스전략을수립하고, 정책과프로세스를구축및제공하며, 효율화를위한자동화도구제공, 교육, 외부대응등을수행하고있다. 또한, LG 전자의공개 SW 라이선스컴플라이언스활동내용으로는국내외개발자대상의주기적인공개 SW 라이선스교육, 온라인교육, 분기별각사업부담당자대상의 Open Source Compliance Workshop 개최, 매월세미나형태의 Open Source License Forum 개최, 공개 SW 관련동향및사내이슈에대한 newsletter 격월발행, 전사업부에서공개 SW를사용하면서준수해야할사항에대한정보제공등을수행하고있다. 정보통신기술진흥센터 15
주간기술동향 2018. 10. 3. 다. CJ CJ는 OSS 거버넌스구축을통해오픈소스도입부터운용에이르기까지종합관리체계를갖추고있으며오픈소스정책및절차관리, 표준기술적용및신규버전검증, 소스코드검증을통한라이선스관리, 보안취약점점검및예방, 정보검색및제공등을수행하고있다. CJ는 OSS 거버넌스포탈구축및운영을통해프로젝트및서비스별 OSS 등록및승인등 OSS 사용과검증에대해체계적인관리를하고있으며, 글로벌오픈소스목록검색및검토시환경및보안등의문제를검증하고, 포털게시판을통해컴뮤니티활동내용과공지사항, OSS 가이드등을제공하며, 오픈소스모니터링기능을통해오픈소스사용 검증 승인에대한통계그래프도식화, 라이선스및보안현황모니터링, 오픈소스코드분석을통해검증보고서리포트산출기능등을지원하고있다. 또한, 오픈소스프로세스를수립하여운영하고있는데, 그프로세스는솔루션과플랫폼도입시서비스및기능대체신규도입솔루션검토요구단계, 필요기능및 IT 환경조사및비즈니스영향에대한검토단계, 후보오픈소스의발굴및대체소프트웨어선정단계, 오픈소스의기본기능강화및추가개발단계, 그리고오픈소스솔루션단독설치또는클라우드서비스로의제품화단계과정으로구성되어있다. 이외 CJ는오픈소스기술지원활동으로오픈소스전문조직및인력을운영하고있으며, 오픈소스기술지원채널구축, 오픈 SW 컨설팅, 상용 SW의오픈 SW로의전환지원, 그리고오픈소스설치및유지보수업무등을수행하고있다. 라. SK텔레콤 SK텔레콤은 OSS 컴플라이언스를위해 OSS 거버넌스조직구성과프로세스수립, 그리고 OSS 라이선스검증을위한환경을구축하여운영해오고있다. SK텔레콤의 OSS 컴플라이언스를위한내부조직은 OSS 거버넌스를총괄하고 OSS 정책과전략을수립하며, OSS 정책위반사항을확인하고오픈소스고지문작성지원과동시에오픈소스에대한외부문제와상황에따른대응업무를수행하는 IPR팀, OSS 검증대상을선정하고, OSS 사용계획을검토하며라이선스검증을확인하는 IT혁신팀, 그리고 OSS 검증을신청하고, OSS 사용계획을수립하며, OSS 검증결과를통해위반사항에대해조치한후소스코드를등록하고고지문을포함하여소스를배포하는개발팀형태로구성및운영되고있다. SK텔레콤은 OSS 거버넌스를위해내부시스템을구축하여운영하고있으며동시에내부기술지원그룹결성과구성원교육을수행하고있다. 이외지속적인변화관리와환경변화에대한대응, 비즈니스파트너까지의 OSS 검증지원을수행하며리거시프로세스및시스템과의연동까지고려하여업무를수행하고있다. 16 www.iitp.kr
ICT 신기술 마. 삼성전자삼성전자는 OSS 거버넌스를위해 OSAB(Open Source Advisory Board) 를구성및운영해오고있으며, OSAB에서는 OSS 정책수립과감사를위한조직, 오픈소스도입및검토를위한조직, 라이선스검증과기술지원을위한조직, 그리고외부문제대응을위한조직형태로운영하고있다. 삼성전자는각각의프로젝트에서오픈소스를사용해개발한 SW를포함하여제3자를통해개발한 SW, 상용 SW, 그리고자체개발한 SW 등모든 SW에대해오픈소스사용여부에대한식별부터라이선스분석및검증에이르기까지 10 단계과정을통해진행하고있다. OSS 분석과검증단계에서는소스코드스캔방식을통해검증하고있으며동시에 Checksum을통해추가적인확인을진행한다. 또한검증완료된개발소스와오픈소스에대해서는 AIRS(Auto IdentifieR using SPDX: Software Package Data Exchange) 를통해고지문을준비하여공개및배포하고있으며오픈소스에대한공개및고지의무사항준수를위해 OSRC(Open Source Release Center) 를구축하여운영하고있다. 이외삼성전자는오픈소스커뮤니티기여활동에참여하는프로세스를수립하여운영하고있으며실제삼성전자는매년삼성오픈소스컨퍼런스 (Samsung Open Source CONference: SOSCON) 를개최하고있고삼성개발자회의 (Samsung Developer Conference: SDC) 와 Tizen 개발자회의 (Tizen Developer Conference: TDC) 를개최및운영하고있다. 바. ETRI ETRI는 OSS 거버넌스구축을위해 2017년이전에는기반조성단계를준비하였고, 2017년부터는오픈소스센터조직구성및운영을통해오픈소스정책및전략수립, 라이선스특허분쟁지원, 라이선스검사지원, 교육및홍보, 커뮤니티지원등의활동을해오고있다. 또한, 2018년부터는 OSS 거버넌스활성화를통해오픈소소현황및기술분석활동과동시에 ETRI 오픈소스헬프데스크운영을준비하고있다. 이외 ETRI는오픈소스라이선스검증을위한프로세스를수립하여운영하고있으며오픈소스라이선스검증환경구축을통해각각의프로젝트에서개발한모든기술이전대상개발 SW에대해서는사전에반드시 OSS 라이선스검증을완료후, 개발된 SW가외부이전할수있도록하고있다. [ 그림 1] 은현재 ETRI에서 OSS 거버넌스를위해진행하는전략및과정이다. 정보통신기술진흥센터 17
주간기술동향 2018. 10. 3. < 자료 > ETRI, 오픈소스 SW 대응추진계획, 2017. 5. [ 그림 1] ETRI OSS 거버넌스대응 2. 국외 [5]-[7] 가. 레드햇레드햇은 1993년설립되어오픈 SW 에코시스템을기반으로클라우드컴퓨팅, 미들웨어, 가상화및모바일등다양한분야에서오픈협업비즈니스모델과서브스크립션모델을사용하여연매출 20억달러이상의성공을거듭하고있다. 이외레드햇은오픈 SW 분야에대한신뢰성을보증하는서브스크립션모델과교육을통해오픈 SW 생태계에참여하고있으며, 오픈 SW 커뮤니티에대한지원을지속적으로하고있다. 나. 마이크로소프트마이크로소프트는세계최대의소프트웨어및하드웨어개발 판매업체이며가장유명한제품으로는 MS 윈도운영체제가있다. 전통적인비공개 SW를판매하는대표적인기업이던마이크로소프트역시다른기업들과마찬가지로기존의비즈니스전략에서오픈 SW를활용한전략으로변경하고있다. 마이크로소프트는직원들의오픈 SW 활동을독려하며오픈 SW 생태계에적극적인러브 18 www.iitp.kr
ICT 신기술 콜을보내고있다. 2009년 OSCON(Open Source Conference) 에서 2만줄의리눅스드라이버소스코드를공개하고아파치재단에 10만달러를기부하는등활발한오픈 SW 커뮤니티협력활동도펼치고있다. 특히, 2015년에는대표적인오픈 SW 기업인레드햇과파트너십을체결하여클라우드시장에서의협업을통한비즈니스활성화를모색하고있으며, 주요솔루션의소스코드를공개하는등오픈 SW를품안에끌어안는정책을펼치고있다. 다. 오라클오라클은 Linux, PHP, Apache, Eclipse, Berkeley DB 및 InnoDB 등오픈 SW 기술을개발하고테스트및최적화하고지원하는데막대한자원을투자하고있으며, 오픈 SW 솔루션제품을개발하여배포하는활동을지원하고있고오픈 SW가포함된제품으로비즈니스를하고있다. 이외오라클은미션크리티컬환경에서저비용, 관리가능성향상, 가용성증대및신뢰성, 성능, 확장성증가등의이유로오픈 SW 기술을함께사용하고있다. 라. IBM 메인프레임용시장과 PC 하드웨어에이르기까지컴퓨터와관련된모든시장에서승승장구하던 IBM이마이크로소프트가등장하면서운영체제시장에서어려움을겪었지만자사의웹스피어제품군에오픈 SW 프로젝트아파치를도입하며다시순항을시작했다. IBM은오픈 SW 아파치프로젝트의성공을발판으로 2000년부터는서비스산업에포커스를맞추어컨설팅, 소프트웨어및서비스비즈니스의매출비중을향상시키며통합솔루션회사로변신하였고최근빅데이터분석기술인아파치스파크를 10년간지원하기로결정하였다. 이외 IBM은자사의분석플랫폼에스파크를통합하고블루믹스서비스플랫폼으로스파크를제공하는프로젝트에 3,500여명의연구원과개발자를투입하고향후오픈 SW 기술인스파크를중심으로빅데이터분석시장에활용할예정이다. 마. 구글구글은매일 10억건이상의검색을처리하는세계최대인터넷검색서비스회사로오픈 SW 커뮤니티, 오픈스택, 아파치재단등의플래티넘후원사로활동하며매년큰비용의후원금을지원하는회사이다. 현재세계에서가장많이사용되는모바일운영체제안드로이드를 2005년 569억에인수하여오픈 SW로제공했다. 구글은안드로이드외에도사용할수있는글꼴, 웹브라우저크롬, 로열티없는고화질영상압축포맷 WebM, 인공지능엔진 Tensor Flow를공개하는등오픈 SW 생태계의활성화를위해노력하는대표적기업이다. 정보통신기술진흥센터 19
주간기술동향 2018. 10. 3. III. OSS 라이선스와분석툴 1. OSS 라이선스 OSS는말그대로공개된 SW로누구나언제든지사용할수있는 SW이다. 다만, 공개된 SW를사용혹은수정하여제3자에게배포하는경우혹은공개된 SW를사용혹은수정하여기술이나제품을만들어배포하는경우에 OSS를사용및수정한 SW 코드에대해서는사용 OSS 라이선스를따르게되며일부특정 OSS 라이선스의경우에는 OSS 연관해서개발한기술및제품전체 SW 소스코드까지공개의무사항을갖는다. OSS 라이선스란, OSS는 SW로서저작권자만이해당 SW에대한사용권리를갖도록지적재산권에의해보호를받는데, 이런해당 SW의독점사용권리에대해 SW 개발자와사용자간의이용방법과조건을명시한대여규칙을정해놓은허가권을의미한다. 따라서 OSS 라이선스는공개 SW에대한이용방법과조건을명시한대여규칙을정해놓은허가권을의미한다. OSS 라이선스는소스코드의공개여부에따라강력한상호허가권 (Strong Reciprocal License) [ 표 1] 주요 OSS 라이선스의무사항비교 [1]-[5] 20 www.iitp.kr
ICT 신기술 을갖는것과약한상호허가권 (Weak Reciprocal License) 을갖는것, 관대한허가권 (Permissive License) 을갖는것으로나눌수있다. 강력한상호허가권을갖는 OSS 라이선스는공개 SW의일부혹은전체를사용하여 SW를개발한경우에, 사용혹은수정한공개 SW와더불어연관된개발 SW 소스코드전체를공개해야하는것으로, 대표적으로 AGPL-3.0, GPL-2.0, GPL-3.0 등이있다. 그리고약한상호허가권을갖는 OSS 라이선스는공개 SW의일부혹은전체를사용하여 SW를개발한경우에, 사용혹은수정한공개 SW 소스코드와연관된개발 SW 소스코드혹은오브젝트코드일부를공개하는것으로, 대표적으로 MPL-2.0, LGPL-2.1 등이있다. 마지막으로관대한허가권을갖는 OSS 라이선스는공개 SW의일부혹은전체를사용하여 SW를개발한경우에, 사용혹은수정한공개 SW 소스코드와연관된개발 SW 소스코드를공개하지않아도되는것으로, 대표적으로 MIT, BSD 3-Clause, Apache-2.0 등이있다. [ 표 1] 은주요 OSS에대한라이선스의무사항을비교및요약한것이다. 공개된 OSS는누구든지자유롭게사용, 수정, 복제가가능하다. 다만, OSS를사용하여기술및제품을개발하여 3자에게배포하거나기술이전을하는경우수정 OSS 및개발된자체 SW 소스코드를공개해야하는 OSS 라이선스가있음을주의해야하며, 이와같은라이선스를갖는대표적인 OSS가 GPL 계열과 AGPL 그리고 LGPL과 MPL 및 EPL 등으로 [ 표 1] 에정리하였다. 따라서이런계열의 OSS는사용후기술이나제품으로만들거나기술이전을통해외부로배포할경우에사용을고려해야할것이다. 그리고 OSS를사용하여개발한기술이나제품의 SW 소스코드에특허가포함되어있다면공개된 SW 코드에서의특허권리주장이쉽지않다는사실도 OSS 사용전에미리고려해야하는부분이다. 이외대부분의 OSS는사용후 OSS 수정사항과관련라이선스를고지해야하는의무가있다는사실도기억할필요가있다. 2. OSS 라이선스분석툴 [1],[2],[5] OSS를사용할때는반드시사용할 OSS 라이선스를사전에확인할필요가있다. 사용한 OSS 라이선스내용에 3자배포에따른공개의무가있는경우 OSS를사용하여만든기술이나제품그리고서비스와연관된관련 SW 소스코드를모두공개해야하기때문이다. 또한, 제품이나기술개발일정이촉박하여 OSS 라이선스의사전확인없이 OSS를사용하는경우에는개발된기술이나제품을배포하기에앞서기술개발에사용한 OSS에대한라이선스검증과정이필요하다. OSS 라이선스검증은개발 SW 소스코드의크기에따라개발자가스스로확인하는방법과 OSS 라이선스검증툴을이용하여자동으로검증하는방법이있다. 정보통신기술진흥센터 21
주간기술동향 2018. 10. 3. 사람에의한 OSS 라이선스검증이란 OSS를이용하여 SW( 소스코드 ) 를개발하는경우먼저사용한혹은사용하려는해당 OSS 라이선스의확인을개발자혹은사용자스스로하는것을의미한다. 라이선스확인을통해해당라이선스의의무사항의유지가가능할때개발자혹은사용자는 OSS 사용여부를결정하고해당 OSS를사용하면된다. 이때해당 OSS의라이선스내용에대한해석을개발자혹은사용자혼자판단하기어려운경우에는법무팀의협조를받아진행할수있다. 또한, 인터넷 ( 구글등 ) 소스코드검색을통해찾아사용하는 OSS의경우에는사용에앞서개발자및사용자는해당소스코드에대한최초라이선스확인이필요하다. 이런방법을사람에의해수동으로수행하는 OSS 라이선스검증방식이라한다. 이렇게개발자혹은사용자에의해 OSS 라이선스를사전에확인하여사용한 OSS와연관하여개발한 SW의소스코드에대해서는개발완료후추가적으로 OSS 라이선스검증을진행하지않아도된다. 따라서 OSS는사용에앞서개발자혹은사용자가사전에라이선스확인을통해 OSS 사용결정을하는것이 OSS 라이선스검증을위한가장좋은방법이될수있다. 한편, 툴을이용한 OSS 라이선스자동검증이란개발자및사용자가 OSS를사용하여 SW를개발한경우에개발한소스코드에대한라이선스검증을자동화툴을이용하여검증하는방법을의미한다. 툴을이용한 OSS 라이선스검증은해당소스코드를스캔한후툴의 DB에저장된소스코드와비교하여검증하는방식, 해당소스코드내라이선스혹은주석문문자열검색및비교를통해 OSS 라이선스를검증하는방식, 그리고해당소스코드에대한파일사이즈를비교하여 Checksum 방식에의한파일크기비교를통해검증하는방식등이있다. 이외툴과사람에의한 2중검증방식이있으며, 이는 1차툴을이용하여소스코드비교를통해확인하고, 확인된 OSS 중 2개이상의일치된 OSS에대해사람이 2차검증하는방식을의미한다. OSS를사용하여개발한소스코드크기가크고 OSS 라이선스검증을위한시간적여유가없는경우툴을이용하여 OSS 라이선스를검증하는것이쉽고빠를수있으나, 툴에의한방식은기본적으로소스코드의유사및일치패턴만을찾아줄뿐이다. 이경우툴에서찾아낸유사및일치패턴의 OSS 소스코드는한개이상검출될수있다. 이렇게여러개의유사및일치패턴소스코드를찾아낸경우 SW 개발에서실제사용한 OSS가어떤것인지판단하기가쉽지않다. 더구나오픈소스특성상시간이지나면서여러개발자에의해수정및공개가반복되면서다수의새로운오픈소스로배포될수있으며, 이런경우툴에서찾아낸여러개의 OSS 중실제개발 SW에서사용한 OSS를찾아그라이선스를확인하고판단하는것이쉽지않다. 따라서 1차툴에서찾아낸 OSS 중에서실제 SW 개발에서사용한 OSS를판단하는최종결정은사람 ( 개발자 / 사용자 ) 이해야한다. 이렇게 1차툴에서유사및일치한소스코드를찾아내고찾아낸여러개의 OSS 중에서 22 www.iitp.kr
ICT 신기술 실제사용한 OSS를사람이최종결정하므로 OSS 라이선스에대한정확한검증이진행될수있으며이와같은검증방식을툴과사람에의한 2중검증방식이라한다. 또한, 개발자혹은사용자는 OSS 소스코드내주석정보나고지정보, 혹은 README 및 LICENSE 파일내용의추가적인확인을통해 SW 개발에서실제사용한 OSS와그라이선스에대한확인과판단을할수있다. 한편, OSS 라이선스내용과해석에익숙하지않은개발자나사용자는 SW 개발과정에서실제사용한 OSS와그라이선스에대한정확한판단을하기가쉽지가않을수있으며, 또 OSS를사용해개발한 SW를개발자가아닌다른사람에의해 OSS 라이선스검증을진행하는경우에는 OSS 라이선스검증에대한잘못된판단을할수도있다. 따라서 OSS 라이선스검증툴을이용하여라이선스검증을진행한경우에도가능한실제 OSS를사용해개발한 SW 개발자가직접 OSS 라이선스검증을진행하는것이바람직하며, OSS 라이선스내용에대한해석은법률적도움을통해진행하는것이바람직하다. 무엇보다도 SW 개발과정에서개발자는가능한 OSS 사용전해당 OSS 라이선스를미리확인하고사용하는것이가장바람직한방법이될수있다. [ 표 2] 는 OSS 라이선스검증을위해현재사용가능한상용 OSS 라이선스분석툴을정리한것이다. 국내에서는 OSS 라이선스자동검증툴로 Protex를가장많이사용하는편이다. ETRI를 [ 표 2] OSS 분석자동화도구 I ( 상용 ) 도구명제조사 / 라이선스분석방법특징비고 Protex Black Duck Synopsys (BDSK*) 소스코드비교분석 / 바이너리 ( 기능 ) 비교분석 Code/Binary Scanning https://www.blackducksoftware.com/; https://www.synopsys.com/ [ETRI, NIPA**, 국방기술품질원, LG, 삼성, KT, 네이버등사용중 ] code Eye 한국저작권위원회소스코드비교분석 Code Scanning https://www.olis.or.kr/; [ 무료검증서비스지원 ] Protecode Synopsys 소스코드비교분석 Code Scanning https://www.protecode.com/ WhiteSource WhiteSource 소스코드비교분석 Code Scanning https://www.whitesourcesoftware. com/ Palarnida FlexNet Code Insight 소스코드비교분석 Code Scanning https://www.palamida.com/ FOSSID FOSSID 소스코드비교분석 Code Scanning https://fossid.com/ OpenLogic RogueWave 소스코드비교분석 Code Scanning https://www.roquewave.com/ BAT Apache-2.0 Synopsys 바이너리분석 Binary Scanning https://www.binarynalysis.org/ Codenomicon AppCHeck Synopsys 바이너리분석 Binary Scanning * BDSK: Black Duck Software Korea ** NIPA[ 공개 SW 역량프라자 ], https://www.oss.kr/:[ 무료검증서비스지원 ] https://www.codenomicom.com/; https://www.synopsys.com/ 정보통신기술진흥센터 23
주간기술동향 2018. 10. 3. 포함하여 NIPA, LG, KT, 그리고 CJ 등에서 OSS 라이선스자동검증툴로사용하고있는 Protex 는 Black Duck 회사가개발하여판매및서비스해왔으며, 지금은 Synopsys사에인수되어판매및서비스가이루어지고있다. 또한, 대부분의 OSS 라이선스자동검증툴은소스코드를스캔하여툴서버 DB에갖고있는 OSS 코드와비교를통해라이선스를검증하는방식을채택하고있으며, 이외바이너리및실행파일을분석하는툴도일부있다. 한국저작권위원회에서는오픈소스기반 OSS 라이선스검증툴인 Code Eye를개발해 OSS 검증및컨설팅서비스를무료로지원하고있으며, NIPA도공개 SW 역량프라자를통해 OSS 라이선스검증과컨설팅서비스를무료로지원하고있다. [ 표 3] 은 OSS 라이선스검증을위해사용가능한오픈소스기반 OSS 라이선스분석툴이다. 오픈소스기반 OSS 라이선스자동검증툴은 FOSSology가대표적이며, 검증방식은소스코드파일내라이선스고지문구혹은주석문문자열검색및비교를통해라이선스를분석하는툴이대부분이다. [ 표 3] OSS 분석자동화도구 II( 오픈소스 ) 도구명제조사 / 라이선스분석방법특징비고 FOSSology GPL-2.0 소스코드파일내라이선스고지문구 ( 문자열 )/ 주석문분석 문자열 [ 탐색 ] 분석도구 https://www.fosslology.org/ ScanCode & AboutCode Apache-2.0 소스코드파일내라이선스고지문구 ( 문자열 )/ 주석문분석 문자열 [ 탐색 ] 분석도구 https://github.com/nextb/scanco de=toolkit NinKa AGPL-3.0 소스코드파일내라이선스고지문구 ( 문자열 )/ 주석문분석 문자열 [ 탐색 ] 분석도구 https://ninka.turingmachine.org/ TripleCheck AGPL-3.0 소스코드파일내라이선스고지문구 ( 문자열 )/ 주석문분석 문자열 [ 탐색 ] 분석도구 https://trplecheck.net/downlodad. html IV. 결론 IoT, 빅데이터, 로봇, AI는물론 ERP, 게임, 보안, 클라우드, 가상화등다양한분야에서 OSS의활용은계속증가하고있다. 무엇보다도빠른기술변화속도에대한대응과비용절감이가능하다는점이 OSS 활용목적의가장큰이유이기도하지만기술종속성탈피와 OSS의품질수준도뒤따르기때문에기술개발에서더많은 OSS의사용과활성화가증대되는것이다. 대표적인 OSS 기반제품으로는, OS 분야에서는 Redhet과 CentOS, WEB/WAS 분야에서는 Apache, Tomcat, Jboss, DB 분야에서는 PostgreSQL/PAS, MariaDB/MySQL이있다. 이 24 www.iitp.kr
ICT 신기술 외에도솔루션분야에서의 ALM(Application Life Cycle Management) 과개발언어에서 Python과 Perl, 개발도구로사용하는 Eclipse 등이 OSS가활용되어만든오픈소스기반제품들이다. 앞으로기업과공공기관에서의기술및제품개발에있어서 OSS의활용은더욱증가될전망이다. 이에본고에서는 OSS 활용증대에따라필요한국내외기업의 OSS 거버넌스동향을조사하고, 나아가 SW 개발과정에서 OSS 사용에앞서사전검토가필요한주요 OSS 라이선스의내용과라이선스분석및검증을위해사용가능한자동화툴동향을살펴보았다. 따라서본고가앞으로기업이나공공기관에서의 OSS 활용증대에따른 OSS 거버넌스준비와방향에도움이될수있기를기대한다. [ 참고문헌 ] * [1] NIPA, 공개 SW라이선스가이드, 2017. 1. [2] KCC( 한국저작권위원회 ), 오픈소스소프트웨어라이선스가이드 3.0, 2016. 11. [3] Black Duck Korea, OSS 라이선스이해및관리, ETRI Seminar, 2017. 8. [4] NIPA, 제5회공개 SW 거버넌스아카데미, 2018. 6. [5] NIPA, 제6회공개 SW 거버넌스아카데미, 2018. 7. [6] NIPA, 공공공개 SW 거버넌스가이드, 2017.1. [7] NIPA, 공개소프트웨어거버넌스프레임워크및적용가이드, 2015. 8. [8] 정보통신부, 공공기관을위한공개소프트웨어안내서, 2005. [9] ETRI, 오픈소스 SW 대응추진계획, 2017. 5. * 본고는 2018 년도정부 ( 과학기술정보통신부 ) 의재원으로정보통신기술진흥센터의지원 {(R7119-16-1001, 지식증강형실시간동시통역원천기술개발 ), (2013-2-00131, ( 엑소브레인 -1 세부 ) 휴먼지식증강서비스를위한지능진화형 WiseQA 플랫폼기술개발 )} 을받아수행한연구결과임 / 본연구결과는 ETRI 공식견해와다를수있음 정보통신기술진흥센터 25