오픈소스 컴플라이언스 관리와 LG전자 사례

LG전자의 오픈소스 컴플라이언스 관리 사례 

갈수록 소프트웨어를 배포하는 방식과 분야가 거대하고 복잡해지다 보니, 오픈소스 컴플라이언스 활동을 표준화하고 효율화하기 위한 조직, 정책 및 프로세스에 대한 니즈도 증가하고 있다. 

LG전자는 일찍이 2000년대 후반부터 오픈소스 컴플라이언스를 위한 활동을 시작한 기업이다. 모바일, TV, 가전과 같이 소비자에게 직접 판매하는 제품부터 자동차 부품 같은 B2B 형태로 공급하는 제품까지 다양한 제품군을 개발하고 있으며, 최근에는 인공지능, 빅데이터 등의 신기술을 활용해 여러 분야에 소프트웨어 기반 서비스를 제공 중이다.

1. LG전자 오픈소스 컴플라이언스 조직
LG전자의 오픈소스 컴플라이언스에 대한 전반적인 책임을 갖고 정책 수립 및 프로세스를 구축하여 전파하는 역할을 담당하는 전사 OSC(Open Source Compliance)팀이 있다. 전사 OSC팀은 오픈소스 컴플라이언스 관련 교육 및 평가 방법을 제공하고, 외부 문의와 요청에 대한 공식 창구 역할을 수행한다. 오픈소스 컴플라이언스 활동을 자동화 및 효율화될 수 있도록 도구와 시스템을 개발하여 제공한다. 법무팀, 특허센터 및 준법감시팀과 협업하여 오픈소스와 관련된 라이선스, 특허, CLA(Contribution License Agreement) 등에 대해 검토하고, 필요한 의사결정을 수행한다.

소프트웨어를 배포하는 활동을 주기적으로 수행하는 조직은 오픈소스 컴플라이언스를 위한 활동이 필요하며, 이를 위한 OSC 담당 부서가 존재한다. 사업부/연구소 OSC 담당 부서에서는 해당 조직의 OSC 관련 업무를 총괄하여 오픈소스 컴플라이언스로 인한 리스크 예방 활동을 책임지고 이행하는 역할을 수행한다.

2. LG전자 오픈소스 정책
LG전자 오픈소스 정책은 소프트웨어를 배포하는 모든 조직이 오픈소스를 사용 혹은 기여할 때 지식 재산을 보호하고 컴플라이언스 리스크를 완화해 오픈소스로부터 최고의 비즈니스 가치를 창출하기 위해 만들어졌다. LG전자 오픈소스 정책은 (1)오픈소스 사용 정책, (2)3rd party 소프트웨어 사용 정책 (3)오픈소스 기여 정책, (4)외부 클레임 대응 정책으로 구성되며, OpenChain 프로젝트(https://www.openchainproject.org/)에서 배포한OpenChain Specification(https://wiki.linuxfoundation.org/_media/openchain/openchainspec-2.0.pdf)의 요건을 충족할 수 있도록 보완되고 있다. 

3 LG전자 오픈소스 컴플라이언스 표준 프로세스
LG전자 오픈소스 컴플라이언스 표준 프로세스는 LG전자 소프트웨어 개발 프로세스 단계에 따라 (1)Identification, (2)Approval, (3)Notice & Verification, (4)Distribution 단계로 구분된다. 

Identification 단계에서는 소프트웨어 개발에 사용할 오픈소스와 라이선스를 확인하고 각 오픈소스 라이선스의 사용 사례별 조건을 고려하여 지식 재산 유출을 방지할 수 있도록 소프트웨어를 설계한다. 소스코드 내 저작권 및 라이선스 표기 룰을 준수한다. LG전자의 소스코드 내 저작권 및 라이선스 표기 룰은 Linux Foundation의 SPDX(https://spdx.org)와 FSFE(Free Software Foundation Europe)의 REUSE(https://reuse.software) 규격을 따르고 있다.

Approval 단계에서는 오픈소스 분석을 통해 사용한 오픈소스와 라이선스를 식별한다. 필요에 따라 FOSSology, Black Duck 등의 도구를 이용하여 소스코드 분석을 수행한다.

소프트웨어에 포함되는 모든 바이너리의 출처를 확인함으로써 소스코드 분석에서 빠질 수 있는 오픈소스에 대해서도 식별한다. Dependency 관리를 지원하는 소프트웨어 개발 환경에서는 Dependency 목록에 대해 오픈소스 및 라이선스를 식별하기 위한 Dependency 분석을 수행한다. 이러한 Open Source 분석 결과는 LG전자 통합 오픈소스 관리 시스템인 OSC System에 등록된다.

Notice & Verification 단계에서는 OSC System에 등록한 오픈소스 분석 결과를 기준으로 공개할 소스코드를 취합해 OSS Package를 생성한다. OSC System을 통해 확인이 완료되면 사용한 오픈소스 및 라이선스를 외부에 고지하고 소스코드 수령 방법에 대해 안내하기 위한 OSS 고지문을 발행한다.

Distribution 단계에서는 OSC System을 통해 OSS 고지문과 OSS Package를 OSS 배포 사이트(http://opensource.lge.com)에 등록해 누구든지 LG전자 제품에 대한 오픈소스 정보 및 소스코드를 다운받을 수 있도록 하고 있다.

LG전자는 OpenChain 프로젝트(https://www.openchainproject.org/)의 자체 인증 절차(https://certification.openchainproject.org)를 통해 확인한 미비점을 보완하고 있으며, 2019년 이내에 OpenChain 준수(Conformant) 프로그램을 갖춘 기업으로 등록하는 것을 목표로 삼고 있다. OpenChain KWG(https://wiki.linuxfoundation.org/openchain/openchain-korean-working-group) 활동에 적극적으로 참여해 국내 기업들과 우수 사례를 공유하고, 고충 사항들을 함께 해결해나가고 있으므로, 이후 더 간단하고 일관성 있게 오픈소스 컴플라이언스를 달성할 수 있을 것으로 기대된다.