Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
OpenChain ISO IEC 5230
О документе
Что это ISO/IEC 5230:2020 — международный стандарт на программу соответствия лицензиям open source (open source license compliance). Происходит из проекта OpenChain (Linux Foundation). Принципиально: стандарт описывает требования к процессу и его управлению, а не к технологии. Он отвечает на вопрос «есть ли у организации работающая программа лицензионного комплаенса», а не «каким инструментом сканировать».
Стандарт задаёт минимальный набор того, что должно существовать: назначенные роли, политика, обучение, реестр компонентов и лицензий, процедура реакции на запросы и архив артефактов. Соответствие подтверждается самодекларацией или сторонней проверкой.
Ключевые требования
- Документированная политика open source и доведение её до сотрудников, которые принимают компоненты.
- Назначенные роли и ответственность за лицензионный комплаенс (без привязки к конкретным ФИО — роль, а не человек).
- Компетентность персонала. Подтверждённое обучение тех, кто принимает решения по лицензиям.
- Идентификация и архивирование артефактов. Для каждой поставки должен существовать перечень компонентов и их лицензий и сохранённые исходные артефакты.
- Процедура обработки внешних запросов на лицензионную информацию и исполнения обязательств лицензий (например, предоставление текста и атрибуции).
- Периодическая проверка работоспособности программы (review), а не разовая настройка.
Что считать evidence
Артефакты соответствия - Утверждённая политика лицензионной чистоты и подтверждения ознакомления ролей. - Реестр компонентов и лицензий по продукту (выводится из SPDX-данных SBOM) с разделением concluded/declared. - Юридические заключения по спорным лицензиям и журнал решений. - Архив исходных артефактов поставки по схеме хранения. - Записи обучения ответственных ролей и протокол периодического review программы.
Маппинг на практики и шаблоны
- Классификация и реестр лицензий: П26. Лицензионная классификация, П27. Юридическое заключение и реестр лицензий.
- Юридический workflow и архив: П13. FOSSology как юридический workflow.
- Процедуры и шаблоны: Порядок работы с неизвестной лицензией, Шаблон юридического заключения по лицензии, Политика лицензионной чистоты.
- Контекст модуля: М07. Лицензионная чистота и юридический workflow.
Ограничение
Это учебная карточка Карточка пересказывает идею процессного стандарта под курс и не воспроизводит текст ISO/IEC 5230. Точный перечень обязательных требований и форму подтверждения соответствия для аудита сверять с официальной спецификацией OpenChain и регламентами Организации.