CURRICULUM Core FOSS Compliance Version 1 Designed for Version 1 of the OpenChain Specification Released under the Creative Commons CC0 1.0 Universallicense. This is not legal advice Korean Translation by Haksung Jang (hakssung@gmail.com) is licensed under CC0 1.0 https://github.com/hakssung/openchain-curriculum-release-1-kor
Contents 1. Intellectual Property 란? 2. FOSS Licenses 소개 3. FOSS Compliance 소개 4. FOSS Review 를위한핵심 Software 개념 5. FOSS Review 수행 6. End to End Compliance Management (Process 예 ) 7. Compliance 위험회피방법
CHAPTER 1 Intellectual Property 란?
Intellectual Property 란? 저작권 : 저자의원저작물을보호 ( 근본적인아이디어가아닌 ) 표현을보호 Software, 책, 시청각자료, 반도체마스크 특허 : 새롭고, 유용하며, 너무뻔하지않은 (non-obvious) 발명 혁신을장려하기위한제한독점 영업비밀 : 기밀의가치있는정보를보호 상표 : 품의출처를나타내는상표 ( 단어, 로고, 슬로건, 색상등 ) 를보호 소비자와브랜드보호 ; 소비자를혼란스럽게하거나상표가치하락하는것을방지하기위함 이장에서는 FOSS Compliance 와주로관련이있는저작권과특허를중점으로설명한다
Software 에서의저작권개념 기본규칙 : 저작권으로창작저작물을보호한다 저작권은일반적으로도서, 영화, 그림, 음악, 지도와같은문학작품에적용된다. Software 는저작권에의해보호되며기능 ( 기능은특허에의해보호 ) 이아닌표현 ( 세부구현내용의창의성 ) 이보호된다. 저작권소유자는자신이만든저작물에대해서만통제권을갖는다. ( 타인의독립적인저작물에대해서는통제권이없음 )
Software 와가장관련있는저작권권리 Software 를복제할수있는권리 - 복제 파생저작물을만들수있는권리 - 수정 ' 파생저작물 ' 이란어떠한한저작물을기반으로만들었지만, 충분히독창적인부분이추가되어서, 단지복사가아닌저자의새로운저작물로간주할수있는것을의미한다. (US law 에서사용하는용어임에유의 ) 배포할수있는권리 일반적으로 Software 일부를복사하여 Source Code 혹은 Binary Form 으로다른주체 ( 개인혹은회사 / 기관밖의기관 ) 에제공하는것을배포라고본다 참고 : " 파생저작물 " 이나 " 배포 " 가무엇인지에대한해석은 FOSS community 나 FOSS 법률가들사이에서논의의대상이다
Software 에서의특허개념 특허는기능을보호함 - Computer Program 과같은동작방법등 추상적인아이디어나자연법칙을보호하지는않는다 특허소유권자는누군가독창적으로만든것과상관없이해당기능의수행을금지할권리가있다 해당기술을사용하고자한다면특허 License ( 해당기술을사용, 제작, 판매, 수입할수있는권리 ) 를취득해야한다
License "License" 는저작권자, 특허권자가사용허가혹은권리를부여하는것을말한다 License 는다음사항들에따라제한될수있다 : 허용되는사용형태 ( 배포, 파생저작물제작 ) 독점혹은비독점조항 관할지역 영구적혹은시간제한 License 는권한을부여하기위한조건을가질수있다. 즉, 해당조건을준수하는경우에만 License 를취득할수있다는의미이다 예, 저작자표시제공, 동일 License 적용 보증, 면책, 지원, 유지보수등과관련하여계약상의조항이포함되는경우도있다
Check Your Understanding 저작권법은어떤유형의자료를보호하는가? Software 에서가장중요한저작권권리는무엇인가? Software 가특허의대상이될수있는가? 특허는특허소유자에게권리를부여하는가? 독자적으로개발한 Software 에대해제 3 자로부터저작권 License 취득이필요할수도있는가? Patent License 는?
CHAPTER 2 FOSS Licenses 소개
FOSS License FOSS(Free and Open Source Software) License 는일반적으로수정및재배포를허용하는조건하에 Source Code 를공개한다 FOSS License 는저작자표시, 저작권진술보존, Source Code 제공을위한약정서제공과같은조건을포함할수있다 OSI (Open Source Initiative) 는 OSD(Open Source Definition) 를정해놓고, 이에부합하는 FOSS License 를승인해준다. OSI-approved FOSS License 는 http://www.opensource.org/licenses/ 에서확인할수있다
Permissive FOSS License Permissive FOSS license - 주로제약이아주적은 FOSS License 를설명하기위해자주사용되는용어 예 : BSD-3-Clause BSD License 는저작권고지와 License 의보증부인을유지하는조건으로제한없는재배포를허락하는 Permissive License 의한예이다. 이 License 는파생저작물의홍보에별도의승낙없이기여자이름의사용하는것을제한하는조항을포함한다 다른예 : MIT, Apache-2.0
License 상호주의 (Reciprocity) & Copyleft License 어떤 License 는파생저작물 ( 혹은동일 File, 동일 Program 이나다른 Boundary 내 Software) 배포시원저작물과같은조항으로배포할것을요구한다 이러한원리는 "Copyleft", " 상호주의 ", " 유전 " 효과라고불린다 GPL-2.0 내상호주의조항예 : "You must cause any work that you distribute or publish, that in whole or in part contains or is derived from the Program or any part thereof, to be licensed...under the terms of this License." 예 : GPL, LGPL, AGPL, MPL, CDDL 의모든 version
Proprietary Licens Proprietary Software License (or 상용 License or EULA) 는 Software 의사용, 수정, 배포에대한제한을갖고있다 Proprietary License 에는비용지급, License 금액등에대한내용이포함되기도한다 Proprietary License 는 Vendor 별로고유하다. Vendor 의수만큼다른 Proprietary License 가있을것이고, 이를사용하기위해서는각각개별검토가필요하다 FOSS 개발자들은상업적 non-foss License 를설명하기위해 "Proprietary License" 라는용어를사용하기도한다
다른형태의 License Freeware - Proprietary License 이지만, 무료혹은아주저렴하게배포된 Software 일반적으로 Source Code 는공개되지않고, 파생저작물의생성을금지한다 Freeware Software 는대개모든기능이동작하고 ( 사용불가기능없음 ), 기한제한없이사용할수있다 Freeware Software 는복사, 배포, 파생저작물생성에대해서뿐만아니라사용형태 ( 개인, 상용, 학업등 ) 에대해서도제한을부과한다 Shareware - 시험판으로사용자에게제공되는 Proprietary Software 로써, 사용기간에제한이있고, 제한된기능을무료로사용할수있게한다 Shareware 의목적은잠재적인고객에게 Program 사용기회를제공하여 full version software 의구매를결정할수있게하는것이다 일부 Shareware vendor 들은일단무료로사용하게하여확산을시킨후고비용의 License 금액을청구하는경우가있으므로대부분기업은 Shareware 를상당히경계한다. Freewware 와 Shareware 는 FOSS 가아니다
Public Domain Public Domain 은법에따라보호받지않는지적재산을가리키며누구든지 License 없이사용할수있다 개발자들은자신의 Software 에대해 Public Domain 에해당한다는선언을포함할수있다 예, "All of the code and documentation in this software has been dedicated to the public domain by the authors." Public Domain 선언이 FOSS License 와같은것은아니다 이러한 Public Domain 선언의법적집행가능성은 FOSS Community 내에서논쟁이있는부분이기도하다 종종 Public Domain 선언이보증부인등다른조항과함께사용될수있는데, 이경우는 Software 가 Public Domain 상태라기보다는하나의 License 하에있다고볼수있다
License Compatibility License Compatibility 는 License 조항들이충돌하지않음을보장하는 Process 이다. 만약한 License 가요구하는내용을다른 License 가금지한다면, 두개의 Software 모듈의결합이 License 의무사항을유발할경우, 이 License 들은충돌하는것이고호환되지않는다. 한예로 GPLv2 는 파생저작물 에도의무사항을부여한다. 만약, GPLv2 Licensed 모듈과결합한두번째 Software 모듈이 GPLv2 Licensed 모듈의파생저작물이아니라면, 이두번째 Software 모듈은 GPLv2 의대상이아니다. 파생저작물 의정의는 FOSS Community 의관점에따라다르다. Free Software Foundation 은 License Compatibility 를설명하기위해다음사례를제공한다 : License p 로배포된저작물은 q 의조항으로도배포할수있다면, License p 는 License q 와호환 ( 혹은 q-compatible) 된다. 예 : GPL compatibility MIT 와같은많은 FOSS License 들그리고 LGPL 은 GPL-compatible 하다. 즉, 이런 FOSS License 하의 Source Code 는 GPL 하의 Source Code 와충돌없이결합할수있다 ; 이러한결합으로생성된새로운 Program 은 GPL 이적용되어야할것이다. 다른 FOSS License 와 Proprietary Software License 는 GPL 의조항과조건이충돌하기때문에 GPL-compatible 하지않다. 단, 이러한충돌은 GPL-2.0 Software 의파생저작물을생성하는결합하는경우에한해서만고려될필요가있다. 참고 : http://www.fsf.org/licensing/licenses/
고지 (Notice) 파일상단의 Text 주석과같은고지는주로작성자및 License 정보를제공한다. FOSS License 는또한저작자정보의제공이나수정내용을포함시키기위해 Source Code 혹은문서내에고지를포함할것을요구하기도한다. 저작권고지 - 저작권자가누구인지를알리기위해저작물의사본에붙이는식별자. 예 : Copyright A. Person (2016). License 고지 - 제품에포함된 FOSS 의 License 조항과조건을알리기위한고지. 귀속정보 (Attribution) 고지 - 제품에포함된 FOSS 원저작자의신원을나타내기위해제품배포시포함하는고지. 수정내용고지 파일상단에새로운저작권표시를추가하는등, 파일의 Source Code 를수정하였음을알리는고지.
Multi-Licensing Multi License 란둘이상의다른조항과조건으로 Software 를배포하는경우를말한다 예를들어, Software 가 "Dual License" 인경우, 수신자는두 License 중하나를선택하여 Software 를사용하거나배포할수있다 참고 : Licensor 가두개이상의 License 를부과하는상황과혼동해서는안된다. 이런경우는모든 License 를준수해야한다
Check Your Understanding FOSS License 란무엇인가? Permissive FOSS License 의주요의무사항은무엇인가? Permissive FOSS License 에는무엇이있는가? License 상호주의는무엇을의미하는가? Copyleft-style License 에는무엇이있는가? Freeware 와 Shareware 를 FOSS 로간주되는가? Multi-License 란무엇인가?
CHAPTER 3 FOSS Compliance 소개
FOSS Compliance 목표 의무사항이무엇인지파악한다.(FOSS 의사용을발견하고추적하라.) Software 를개발하면서포함하는모든 FOSS Component( 및각각확인한 License) 를식별, 추적, 보관하는 Process 가있어야한다. 사용한 FOSS 의모든 License 의무사항을준수한다. 귀사의 Program 은조직의사업형태에서비롯되는일반적인 FOSS 의 Use Case 를식별하고처리해야한다.
준수해야할 Compliance 의무사항은무엇인가? 관련된 License 에따라다음의의무사항이있다 : 저작자표시및고지. 저작권및 License Text 를 Source Code 및 / 또는제품문서혹은 User Interface 에포함하여후속사용자들이 Software 의출처와 License 에따른권리를알수있게한다 Source Code 공개. 원저작물, 결합저작물, 수정사항에대해 Source Code 뿐만아니라 Build Script (Build Process 를제어하는 Script) 를제공한다 이러한의무사항은다음과같은주요 Event 에따라유발될수있다 : 외부배포 수정여부
FOSS 조건및제한사항 사용하는 FOSS License 에따라다음조건및제한사항을하나이상준수해야할수있다. : 저작권 ( 및기타 ) 고지유지 License 사본제공 수정내용고지제공 수정 version 은혼란을방지하기위해다른이름을사용해야만함 ( 수정여부와관계없이 ) 소스코드에대한접근권한제공 수정 version ( 파생저작물 ) 에대해같은 License 유지 저작자표시제공 Project 또는저작권자이름이나상표를사용하지말것 원 License 하에부여된권리를타인에게제한하지말것 종료조항 ( 위반할경우, License 를잃음 )
FOSS Compliance Trigger : 배포 (Distribution) 외부주체로자료전파 User 의컴퓨터혹은모바일장치에다운로드된 Application User 의컴퓨터에다운로드된 Javascript, Web Client 또는다른코드 일부 FOSS License 의경우, 컴퓨터 Network 을통한접근도 "Trigger Event" 가될수있다. Trigger 는 컴퓨터 Network 을통해원격으로상호작용하는 User 이다.. 일부 License 는 Server 에서동작하는 Software 에대해서도 Access 를허용하도록 Trigger Event 를정의한다. ( 예 : Software 가수정된경우 Affero GPL 의모든 version)
FOSS Compliance Triggers: 수정 기존 Program 의변경 ( 예 : File 내 Code 의추가, 삭제, Component 결합 ) 수정하는것으로파생저작물이만들어질수있으며, FOSS 저작자는수정하는것에대해의무를제한하거나부과할수있다. 수정은다음과같은 FOSS 의무사항을유발시킬수있다.: 수정내용고지 동반 Source Code 제공
FOSS Compliance Program FOSS Compliance 에성공한조직은자신만의 FOSS Compliance Program (Policy, Process, Training, Tool 등으로구성 ) 을갖고있다. 이를통해 : 1. 상용제품에 FOSS 를효과적으로사용할수있게한다. 2. FOSS 개발자의권리를존중하고, License 의무사항을준수한다. 3. Open Community 에참여하고기여한다.
Compliance 를위한실천사항 다음사항들을처리하기위한 Business Process 와충분한인력을준비한다 : FOSS Software 의출처와 License 식별 개발 Process 내에서 FOSS Software 추적 FOSS 검토수행및 License 의무사항확인 제품배포시 License 의무사항이행 FOSS Compliance Program, 정책수립및 Compliance 의사결정에대한감독 교육
Compliance 의이점 강력한 FOSS Compliance Program의이점은다음과같다 : FOSS의이점과조직에미치는영향에대한이해증진 FOSS의이용과관련된비용과위험에대한이해증진 FOSS Community와 FOSS 기관들과의관계개선 사용가능한 FOSS Solution들에대한지식증가
Check Your Understanding FOSS Compliance는무엇을의미하는가? FOSS Compliance Program의두가지주요목표는무엇인가? FOSS Compliance Program의중요한 Business 실천사항을열거하고설명하시오. FOSS Compliance Program의이점은무엇인가?
CHAPTER 4 FOSS Review 를위한주요 Software 개념
어떤정보를수집해야하나? FOSS 의사용법을분석할때, FOSS Component 의정체, 출처및어떤방법으로사용될것인지에대한정보를수집한다. 여기에는다음사항이포함될수있다 : Package 이름 Version 원본 Download URL License와 License URL 설명 수정내용설명 Dependency List 제품내사용방법 Package가포함된제품의초도배포일 Source Code 입수가능성 Source Code 를유지할곳 Package 가이전다른환경에서사용승인된적이있는지여부 수출통제대상기술포함여부 외부 vendor 로부터입수한경우 : 개발팀의연락처 License 의무사항을충족시키기위한저작권고지, 귀속정보, vendor 수정사항에대한 Source Code
Component 를어떻게사용할것인가? 일반적인시나리오는다음과같다 : 통합 (Incorporation) Linking 수정 (Modification) 번역 (Translation)
통합 (Incorporation) 개발자는 FOSS Component 의일부를 Software 제품에복사할수있다. 관련방식은다음과같다 : 통합 (Integrating) 병합 (Merging) 붙여넣기 (Pasting) 개작 (Adapting) 삽입 (Inserting)
Linking 개발자는 FOSS Component 를 Software 제품에 Link 혹은 Join 할수있다. 관련방법은다음과같다 : 정적 / 동적 Linking Pairing 결합 (Combining) 활용 (Utilizing) Packaging 상호의존성만들기
수정 개발자는다음과같이 FOSS Component 를수정할수있다 : FOSS Component 에새로운 Code 추가 / 삽입 FOSS Component 의수정, 최적화혹은변경 Code 삭제혹은제거 Adding Injecting Fixing Optimizing Changing Deleting
번역 개발자는 Code 를한상태에서다른상태로변환할수있다. 예 : 중국어에서영어로번역 C++ 에서 Java로변환 Mask나 Net List에서 VHDL Compiling Binary로 Compiling
개발 Tools 개발 Tool 이뒤에서이러한동작중일부를수행할수도있다. Inject material 예를들어, Tool 이동작하면서산출물내에자체 Code 의일부를추가시킬수있다. Translate the material Modify the material
FOSS Component 는어떻게배포되는가? Software 를받는사람은누구인가? 고객 / 파트너 Community Project 전달형태는무엇인가? Source Code 전달 Binary 전달 Hardware 에 Pre-loaded
Check Your Understanding Software 의 License 가무엇인지이해하는데도움이되는정보는무엇인가? 누가 Software 에 License 를부여하는지확인하기위해도움이되는정보는무엇인가? 통합 (incorporation) 이란? 수정 (modification) 이란? Linking 이란? 번역 (translation) 이란? 배포에대해검토할때중요한요소는무엇인가?
CHAPTER 5 FOSS Review 실행
FOSS Review FOSS Compliance Program 의핵심요소는 FOSS Review Process 로서, 이를통해회사는 FOSS 의무사항을분석하고결정할수있다 FOSS Review Process 는다음과정을포함한다 : 관련정보수집 License 의무사항분석및결정 회사정책및 Business 목표를고려한가이드제공
FOSS Review 시작 Initiate a FOSS Review Program Manager Product Manager Engineer FOSS Review Process 는 Program/Product Manager, Engineer 및 FOSS 와관련하여일하는사람들이 Access 할수있어야한다. 참고 : 이 Process 는외부 vendor 로부터 FOSS-based Software 를제공받을때도시작할수있다.
FOSS Review Team Initiate a FOSS Review Program Manager Product Manager Engineer FOSS Review 팀은 FOSS 의사용을지원, 안내, 조정및검토하기위해협력하는다양한지원그룹에중요성을알리고참여시킨다. 이팀은다음을포함할수있다 : License 의무사항을식별하고확인하는법무팀 FOSS 사용을식별하고추적하는것을도와주는 Scanning 및 Tooling 지원팀 FOSS 의사용에영향을받을수있는, 사업이익, 상용 License, 수출 Compliance 등을담당하는전문가 Legal ScanningSpecialists
제안된 FOSS 사용분석 Legal Scanning Specialists FOSS Review Team 은가이드를제공하기전에다음과같은이슈를포함하여수집한정보를평가해야한다 : 완전성, 일관성, 정확성 ( 감춰진 FOSS 의사용을조사하는데 Code Scanning Tool 이사용될수있음 ) 선언된 License 가 Code File 에있는것과일치하는가? License 가 Software 의제안된사용을실제허용하는가?
FOSS Review 작업 Initiate a FOSS Review Program Manager Product Manager Work Engineer Legal ScanningSpecialists Guidance FOSS Review Process 를통한업무는상호작용을한다. 이업무는 Engineering, 사업및법무팀을포함한분야를넘나들며, 모든당사자가근본적인이슈를이해할수있도록 Follow-up 논의를요구할수있다. 궁극적으로이 Process 는 FOSS 사용에대한명확한지침을제공해야한다.
FOSS Review 감독 Initiate a FOSS Review Program Manager Product Manager Work Engineer Legal ScanningSpecialists Guidance Executive Review Committee FOSS Review Process 는관련당사자간에이견이있거나결정이특별히중요한경우에대해충분한감독을해야한다.
Check Your Understanding FOSS Review 의목적은무엇인가? FOSS Component 를사용하기원한다면, 제일처음어떤활동을취해야하는가? FOSS Review 를위해서수집할수있는정보는무엇인가? 외부 vendor 로부터입수한 FOSS Component 를검토할때추가적으로중요한정보는무엇인가? 이러한정보의품질을평가하기위해취할수있는조치는무엇인가? FOSS 를사용함에있어서문의가있을경우, 무엇을해야하는가?
CHAPTER 6 End to End Compliance Management (Process 예 )
소개 Compliance Management 는제품 ( 혹은 OpenChain Specification 에서의 "Supplied Software") 에사용된 FOSS 의유입및배포를제어하는일련의활동으로구성된다. Compliance 를위한기업실사 (due diligence) 의결과는 Supplied Software 내사용된모든 FOSS 를식별하고, 모든 FOSS License 의무사항이충족된다고보장하는것이다. 이장에서는이러한 Process 의예를제공하여내부 Process 를구축하거나개선하기위한도움을제공한다. Incoming FOSS Compliance Process FOSS identified; FOSS obligations met
Process Overview FOSS Software Component 의 Compliance 기록검토및승인 공개를위한고지문편집 확인된산출물게시 Incoming Software Proprietary Software 3 rd Party Software FOSS Identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing Software Notices & Attributions Written Offer Review 를위한 FOSS Component 식별 Source Code Scan 및 Audit & Source Code 출처및 License 확인 회사 FOSS 정책에맞게 Audit 이슈해결 제품별, Release 별목록표 (inventory) 내승인된 Software/Version 기록 배포를위한 Source Code Package 확인 & 적절한고지문이제공되는지확인 Source Code, 고지문공개및약정서제공 Compliance Management End-to-End Process 의예
FOSS 사용의확인및추적 Incoming: FOSS Identification Audit Resolve Issues Reviews Approvals Registratio n Notices Verification s Distribution Verification s Outgoing: FOSS + Mods 모든 Sourced 에대해 FOSS 를확인하고추적한다 전제조건 : Process 는다음중하나의이벤트로시작할수있다 : - 개발팀에서 FOSS Component 의검토혹은외부배포요청 - 적절한승인없이사용된 FOSS 의발견 - 3rd Party Software 의일부로사용된 FOSS 의발견 단계 : 접수된요청기록 전체 Platform 에대한 Scan 을수행할수있음 3rd Party 제공 Software 에대한실사 (Due Diligence) 접수된요청없이 repository 에추가된모든 FOSS Component 에대해인식및검토 결과 : FOSS 에대한 Compliance 기록생성 ( 혹은갱신 ) Source Code 를 Scan 하거나 Review 하도록 Audit 요청
Source Code Auditing Incoming: FOSS identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods FOSS Component 를식별하여출처및 License 를확인한다 전제조건 : 개발팀은 FOSS 사용에대한정보가담긴 Compliance 기록을제공한다 개발팀에서제공한기록이없을경우, 발견되는 FOSS Component 로기록을만들수있다 단계 : Audit 을위한 Source Code 식별 Source Code Scan 을위해 Software Tool 의사용이가능하다 Audit 혹은 Scan 을통해발견된부분은 Code 의적절한출처에대해검토및확인되어야한다 Audit 혹은 Scan 은 Software 개발및 Release Lifecycle 에따라반복적으로수행되어야한다 결과 : Source Code 의출처와 License 를식별한 Audit Report
Resolving Issues Incoming: FOSS identification Audit Resolving Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods Audit 을통해확인한모든이슈들을해결한다 전제조건 : Source Code Audit 혹은 Scan 을완료하였다. Audit Report 는 Source Code 의출처및 License 를식별하고, 추가조사가필요한 file 에대해표시하였다. 단계 : FOSS 정책과충돌하는 Audit Report 내의이슈해결을위해 적합한 Engineer 에게피드백을제공한다. Engineer 와상의하여문제가해결되었는지를확인한다. 결과 : Report 내표시된각파일의해결및충돌되는 License 의해결
Review 수행 Incoming: FOSS identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods Audit Report 를검토하고발견된이슈들이해결되었는지를확인한다 전제조건 : Source Code 가 Audit 되었다 모든확인된이슈들은해결되었다 단계 : 검토하는직원에게적절한수준의권한을제공한다. Audit 된 Source Code 에대해 FOSS Review 를수행하고, Software Architecture 및 FOSS 사용을검토한다. ( 다음 Slide 의 template 참고 ) FOSS License 들의의무사항을확인한다. 결과 : Audit Report 의 Software 가 FOSS 정책에순응하는지확인한다 Audit Report 결과를보존하고, 다음단계 (Approval) 를위해해결된이슈들을표시해둔다
Architecture Review (Example Template) Legend Proprietary 3 rd Party Commercial GPL LGPL [Insert Components] [Insert interaction method] User Space FOSS Permissive [Insert Components] Kernel Space [Insert interaction method] (fc) (si) (sc) (sh) Function call Socket interface System call Shared headers [Insert Components] Hardware
Approvals 이전단계에서의 Software Audit 및 Review 결과에따라 Software 사용이승인될수도, 되지않을수도있다 승인된 FOSS Component의 Version, 승인된 Component의사용모델및 FOSS License에따른의무사항들이명시되어야한다 승인은적절한수준의권한에서이루어져야한다 Incoming: FOSS identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods
Registration / Approval Tracking FOSS Component가제품에서의사용이승인되면, 해당제품의 Software 목록표에추가되어야한다. 승인및이에대한조건은 Tracking System에등록되어야한다. Tracking System은 FOSS Component의신규 version 혹은새로운사용모델이제안된경우새로승인이될수있도록해야한다. Incoming: FOSS identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods
Notices Incoming: FOSS identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods Release 하는제품에사용된모든 FOSS 에대해적절한고지를준비한다 : - 모든저작권및저작자고지를제공하기위해 FOSS 의사용을표시한다 - 제품의최종사용자에게 FOSS Source Code 사본을어떻게얻을수있는지알린다 (GPL, LGPL 과같이 Source 공개가필요한경우 ) - 필요에따라제품에포함된 FOSS Code 에대한 License Agreement 의전체 text 를제공한다
Pre-Distribution Verifications Incoming: FOSS identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods 배포된 Software 가 Review 및승인되었는지확인한다 전제조건 : FOSS Component 가사용승인되었음 FOSS Component 가 Release 되는 Software 의목록표에등록되었음 적절한고지문이준비되었음 단계 : 배포할 FOSS Package 들이식별되고승인되었는지확인한다 검토된 Source Code 가제품내의 Binary 와일치하는지확인한다 식별된 FOSS 에대해 Source Code 요청권리가있음을최종소비자에게알리기위한적절한고지문이포함되었는지확인한다. 결과 : 배포 Package 에는검토승인된 Software 만포함한다 적절한고지 File 을포함한 " 배포준수산출물 (Distributed Compliance Artifacts : OpenChain 스펙에정의 )" 을배포 Package 혹은다른형태로전달될수있도록포함한다
동반하는 Source Code Distribution Incoming: FOSS identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods 요구에따라동반하는 Source Code 제공 전제조건 : 배포전모든사항이확인완료되었으며, 이슈는발견되지않음 단계 : 동반하는 Source Code 를관련 Build Tool 및문서와함께제공한다 ( 예 : 배포사이트에 upload 하거나배포 Package 내에포함시키는방법으로제공 ) 동반하는 Source Code 는제품및 Version 을라벨 (label) 로표시하여식별되게한다 결과 : 동반하는 Source Code 를제공하기위한의무사항을충족한다
Final Verifications Incoming: FOSS identification Audit Resolve Issues Reviews Approvals Registration Notices Verifications Distribution Verifications Outgoing: FOSS + Mods License 의무사항준수여부를인증한다 전제조건 : 동반하는 Source Code 를필요에따라제공한다 적절한고지문을준비하였다 결과 : 동반하는 Source Code가 ( 필요한 배포되는 Compliance 산출물들이경우 ) 올바르게 upload되거나적절히제공되었는지확인한다배포되었는지확인한다 Upload 혹은배포된 Source Code가승인된 version과동일한지확인한다 고지문이적절하게게시되었는지와접근가능한지확인한다 이외다른의무사항들이준수되었는지확인한다 단계 :
Check Your Understanding Compliance 를위한기업실사 (Due Diligence) 를위해필요한것은무엇인가? (high level 에서의단계를설명하라 ) Compliance Management 의일부로해결해야할이슈유형은무엇인가? Audit 결과검토에누가참여해야하는가? Architecture 검토는무엇을확인하기위해서인가? FOSS 고지문에는무엇이포함되어야하는가? Copyleft License 하의 Code 는무엇이배포되어야하는가?
CHAPTER 7 Compliance 위험회피방법
Compliance Pitfalls 이장에서는 Compliance Process 에서피해야할몇가지잠재적인위험에대해설명한다 : 1. 지적재산 (IP) 관련위험 2. License Compliance 관련위험 3. Compliance Process 관련위험
지적재산관련위험 유형및내용발견방법회피방법 Proprietary 혹은 3rd Party Code 내에의도치않은 Copyleft FOSS 의포함 : 이러한유형의오류는개발과정에서개발자가 FOSS 정책과맞지않는형태로 FOSS Code 를 Proprietary Source Code 에추가 ( 혹은잘라서붙여넣기 ) 할때발생한다. 이러한유형의오류는다음과일치할가능성이있는지 Source Code 의 Scanning 혹은 Auditing 을하여발견할수있다 : FOSS Source Code 저작권고지 이때, 자동화 Source Code Scanning Tool 을사용할수도있다 이러한유형의오류는다음과같은방법으로피할수있다 : 개발자들이 Compliance 이슈, 다양한유형 / 종류의 FOSS License, Proprietary Source Code 내에 FOSS Source Code 를포함시키는것의결과에대해인식할수있도록교육을제공한다 Build 환경의모든 Source Code (Proprietary, 3rd Party, FOSS) 에대해정기적인 Source Code Scan 및 Audit 을수행한다
지적재산관련위험 유형및내용발견방법회피방법 의도치않게 Copyleft FOSS 를 Proprietary Source Code 에 Linking 하는경우 ( 혹은그반대경우 ): 이런유형의오류는충돌혹은호환되지않는 License 의 Software(FOSS, Proprietary, 3rd Party) 를서로 Linking 하는결과로발생한다. Linking 에대한법률적효과는 FOSS Community 에서논쟁의대상이다 Source Code 수정을통해 Proprietary Code 를 Copyleft FOSS 에포함 이런유형의오류는 Dependency Tracking Tool(Software Component 들간의연결관계를보여주는 Tool) 을이용해발견할수있다 이런유형의오류는 Audit 혹은 Scan 을통해 FOSS Component 에추가한 Source Code 를식별및분석하여발견할수있다 이런유형의오류는다음과같은방법으로피할수있다 : 1. 개발자들이 FOSS 정책과맞지않는형태로 Software Component 를 linking 하는것을피할수있도록교육을제공한다 2. Build 환경에서 Dependency Tracking Tool 을지속적으로실행한다 이런유형의오류는다음의방법을통해피할수있다 : 1. 개발자에게교육제공 2. 주기적인 Code Audit 수행
License Compliance 관련위험 유형및내용 동반하는 Source Code 제공실패 회피방법 이런유형의오류는 Source Code 공개를제품출시를위한 Checklist 항목으로관리함으로피할수있다 잘못된 Version 으로동반하는 Source Code 제공 Binary version 과일치하는 Source Code 공개를보장하기위한확인단계를 Compliance Process 에추가함으로이런유형의오류를피할수있다 수정한 FOSS Component 에대해동반하는 Source Code 제공실패 FOSS Component 의원본 Source Code 뿐만아니라수정한 Source Code 에대해서도공개를보장하기위한확인단계를 Compliance Process 에추가함으로이런유형의오류를피할수있다
License Compliance 관련위험 유형및내용 FOSS Source Code 에수정내용표시실패 : FOSS Source Code 에수정내용을표시하지않거나수정사항에대한설명을포함하지않음 Avoidance 이런유형의오류는다음의방법을통해피할수있다 : 1. Source Code 수정내용표시과정을 Source Code 공개전확인단계로추가 2. 개발자들에게일반대중에게공개할예정인모든 FOSS 혹은 Proprietary Software 에대해 Copyright 표시및 License 정보 update 를수행할수있도록교육제공
Compliance Process 관련위험 개발자가 FOSS 사용승인을받지않음 내용회피방법예방방법 이런유형의오류는개발자에게회사의 FOSS 정책및 Process 에대해교육을제공함으로피할수있다 이런유형의오류는다음방법을통해예방할수있다 : 1. Software Platform 에대해정기적으로 Full Scan 을수행하여확인되지않은 FOSS 의사용을발견한다 2. 개발자에게회사의 FOSS 정책및 Process 에대해교육을제공한다 3. 직원성과평가시 Compliance 항목을추가한다 FOSS 교육을수강하지않음 FOSS 교육수강을직원의전문개발계획의일부임을보장하고직원성과의일부로수강여부를감독함으로이런유형의오류를피할수있다 이런유형의오류는개발자들에게특정날짜까지 FOSS 교육을수강하도록요구함으로써예방할수있다
Compliance Process 관련위험 내용회피방법예방방법 Source Code Audit 미수행 Audit 을통해발견한결과 (Scan Tool 혹은 Audit 에의해보고된 "hits" 의분석에의한결과 ) 를해결하지않음 이런유형의오류는다음의방법을통해피할수있다 : 1. 정기적인 Source Code Scan/Audit 수행 2. Audit 을반복적인개발 Process 내하나의주요한단계로보장 Audit 보고서가완료되지않은경우, 문제가해결되었다는 Compliance 증명서를발급하지않음으로이러한유형의오류를피할수있다 이런유형의오류는다음의방법으로예방할수있다 : 1. 예정보다늦어지지않도록적절한인원제공 2. 정기적인 Audit 실시 이런유형의오류는 FOSS Compliance Process 에승인절차를추가함으로예방할수있다 FOSS 에대한검토를적절한시기에진행하지않음 개발자가 FOSS Source Code 의채택을아직결정하지않았더라도조기에 FOSS Review 요청을시작함으로써이런유형의오류를피할수있다 이런유형의오류는교육을통해예방할수있다
제품출하전 Compliance 의보장 기업은 ( 어떤형태로든 ) 제품출하이전에 Compliance 를우선시하여야한다 Compliance 를우선시하면다음사항이개선된다 : 조직내에서보다효과적으로 FOSS 를사용함 FOSS Community 및 FOSS 기관들과의관계개선
Community 와의관계확립 상용제품에 FOSS 를사용하는기업이라면 FOSS Community ( 특히, 제품에사용및배포하는 FOSS Project 와관계된 FOSS Community) 와좋은관계를유지하는것이대단히유리하다 게다가, FOSS 기관과의좋은관계는 Compliance 를위한최선의방안에대해도움을받을수있고, Compliance 이슈가발생할경우에도도움이된다 또한, Software Community 와의좋은관계는양방향 Communication 에도움이될수있다 : Upstreaming 개선및 Software 개발자로부터의지원을받을수있다
Check Your Understanding FOSS Compliance 관련어떤유형의위험이있을수있나? 지적재산관련실패사례를제시하시오. License Compliance 관련실패사례를제시하시오. Compliance Process 관련실패사례를제시하시오. Compliance에우선순위를두었을때의장점은무엇인가? Community와좋은관계를유지하는것의장점은무엇인가?