ИСО/МЭК 5230
ISO/IEC 5230 (известный как OpenChain) — это международный стандарт, определяющий ключевые требования к высококачественной программе соответствия лицензиям с открытым исходным кодом. Стандарт был опубликован совместно Международной организацией по стандартизации (ISO) и Международной электротехнической комиссией (IEC) в конце 2020 года. Стандарт основан на спецификации Linux Foundation OpenChain 2.1. Основное внимание уделяется цепочкам поставок программного обеспечения, упрощению закупок и соблюдению лицензий. Организации, соответствующие требованиям стандарта, могут самостоятельно пройти сертификацию по ISO/IEC 17021 в аккредитованном органе по сертификации или после успешного завершения аудита. [ 1 ] [ 2 ] [ 3 ] [ 4 ]
Как работает стандарт
[ редактировать ]Большинство организаций и программных продуктов полагаются на многочисленные компоненты с открытым исходным кодом, созданные третьими лицами, такие как платформы, библиотеки и контейнеры, поступающие из различных и часто независимых источников. Это похоже на цепочку поставок в обычной среде, и обеспечение максимальной надежности цепочки поставок считается важным с операционной, юридической точки зрения и безопасности. Исходя из этой предпосылки, ряд игроков решили установить основные правила для организаций, которые будут иметь дело с программным обеспечением с открытым исходным кодом, на каком бы уровне цепочки поставок они ни работали. Рабочая группа под эгидой Linux Foundation , проект OpenChain. Позже, при выходе версии 2.0, нормы были представлены на утверждение в качестве стандарта ISO/IEC .
Согласно стандарту, чтобы эффективно использовать компоненты с открытым исходным кодом, организация должна знать и соблюдать все задействованные компоненты, связанные с ними лицензии с открытым исходным кодом и такие обязательства, как авторское лево . Целью ISO/IEC 5230 является установление непредписывающего общего понимания того, что необходимо учитывать в рамках программы обеспечения качества с открытым исходным кодом. Это делает ISO/IEC 5230 применимым во многих отраслях и организациях и обеспечивает преимущества для закупок и цепочек поставок программного обеспечения, поскольку программное обеспечение с открытым исходным кодом имеет тенденцию быть очень громоздким в юридических контрактах и закупках.
Основными темами, охватываемыми стандартами ISO/IEC 5230 и OpenChain-2.1, являются:
- Существование политики открытого исходного кода
- Компетенции участников программы (например, юридическая подготовка под конкретные задачи).
- Осведомленность о рисках открытого исходного кода среди всех участников программы
- Четко определенный объем, например, только определенные области и линейки продуктов.
- Понимать и собирать лицензионные обязательства для соответствующих вариантов использования.
- Доступ для внешних запросов с открытым исходным кодом (например, к авторам OSS).
- Офисы соответствия, оснащенные достаточными ресурсами
- Создать спецификацию
- Процесс соблюдения лицензии (например, документы, соответствующие обязательствам)
- Архивирование и предоставление артефактов соответствия
- Руководство по участию и вкладу сообщества
ISO/IEC 5230 не определяет, как именно должно выполняться большинство задач, например, требуется ли сканирование фрагментов, повторная проверка заявленных лицензий с открытым исходным кодом и как должны выглядеть артефакты соответствия. Однако теперь SPDX является стандартом ISO (ISO/IEC 5962) и упоминается в ISO/IEC 5230 как пример артефактов соответствия.
Сертификация
[ редактировать ]Высококачественная программа соответствия с открытым исходным кодом может быть сертифицирована на соответствие стандарту ISO/IEC 5230 рядом аккредитованных регистраторов по всему миру.
В одних странах органы, проверяющие соответствие систем менеджмента определенным стандартам, называются «органами по сертификации», а в других их обычно называют «органами регистрации», «органами оценки и регистрации», «органами сертификации/регистрации». органы», а иногда и «регистраторы».
Сертификация ISO/IEC 5230, как и другие сертификации систем менеджмента ISO, обычно включает трехэтапный процесс внешнего аудита, определенный в ISO/IEC 17021:
- Этап 1 представляет собой предварительную неофициальную проверку программы соответствия требованиям открытого исходного кода, проверяющую, например, наличие и полноту ключевых документов, таких как политика организации в отношении открытого исходного кода, процесс очистки и кадровое обеспечение. Этот этап служит для ознакомления аудиторов с организацией и наоборот.
- Этап 2 представляет собой более детальный и формальный аудит соответствия, при котором программа соответствия с открытым исходным кодом проходит независимую проверку на соответствие требованиям, изложенным в ISO/IEC 5230. Аудиторы ищут доказательства, подтверждающие, что система менеджмента была правильно спроектирована, внедрена и действительно работает. в эксплуатации. Сертификационный аудит обычно проводится ведущими аудиторами ISO/IEC 5230. Прохождение этого этапа приводит к сертификации программы качества с открытым исходным кодом на соответствие стандарту ISO/IEC 5230.
Непрерывный означает, что последующие проверки или аудиты проводятся для подтверждения того, что организация продолжает соответствовать стандарту. Поддержание сертификации требует периодических повторных аудитов для подтверждения того, что программа соответствия качества с открытым исходным кодом продолжает функционировать так, как указано и задумано. Такие проверки должны проводиться не реже одного раза в год, но часто проводятся чаще (по согласованию с руководством), особенно в то время, когда программа обеспечения качества открытого исходного кода все еще находится в стадии разработки. Кроме того, ISO/IEC 5230 функционально идентичен OpenChain 2.1, что обеспечивает бесплатную самосертификацию через веб-приложение проекта.
Распространение
[ редактировать ]19 октября 2020 года фонд Eclipse Foundation объявил, что он является первым фондом с открытым исходным кодом, сертифицированным по стандарту ISO/IEC 5230. [ 5 ] Несколько компаний, в том числе SAP, Toshiba, Samsung Electronics и LG Electronics, публично объявили о своем соответствии OpenChain.
Внешние ссылки
[ редактировать ]- ISO/IEC 5230:2020-12 Информационные технологии. Спецификация OpenChain
- Официальный сайт OpenChain
- Официальные переводы OpenChain
- Самосертификация OpenChain. Архивировано 28 марта 2023 г. на Wayback Machine.
- Шейн Кофлан: Обзор проекта OpenChain.
- Проект OpenChain на GitHub
Источник
[ редактировать ]Первая версия этой статьи была переведена из статьи в немецкой Википедии .
Ссылки
[ редактировать ]- ^ Кофлан, Шейн (2022). «Трансформация цепочки поставок с помощью Openchain Iso 5230». Закон, политика и практика открытого исходного кода . стр. 141–C6.P28. дои : 10.1093/oso/9780198862345.003.0006 . ISBN 978-0-19-886234-5 .
- ^ МакКлерг, Джон (май 2022 г.). «Новый уровень доверия: общекорпоративное соответствие OpenChain ISO/IEC 5230:2020» . Безопасность . Том. 59, нет. 5. Троя. п. 25. ПроКвест 2666597005 .
- ^ «Toyota — первая компания, объявившая о принятии ISO/IEC 5230, международного стандарта соответствия открытому исходному коду» (пресс-релиз). 15 декабря 2020 г. ПроКвест 2470636334 .
- ^ «Liferay объявляет о соответствии OpenChain» . Новости инвестиционного еженедельника . 16 ноября 2019 г. с. 354. ProQuest A605360074 .
- ^ Мёбус, Майка (20 октября 2021 г.). «Открытый исходный код: Eclipse Foundation обеспечивает соответствие OpenChain» . Хейз онлайн . Проверено 24 ноября 2022 г.
ISO Стандарты по номеру стандарта |
|---|
