::: TTA표준화 위원회 :::

홈 > 자료마당 > 자료검색 > 표준

자료 검색결과

표준종류

정보통신단체표준(TTAS)

표준번호

TTAK.KO-11.0182/R2

구 표준번호

제개정일

2025-06-27

총 페이지

한글 표준명

오픈소스 소프트웨어 정보 교환 명세

영문 표준명

Open Source Software Package Data Exchange Specification

한글 내용요약

이 표준은 기업과 조직들은 오픈소스 소프트웨어와 기타 소프트웨어 패키지들을 광범위하게 사용하고 있고 재사용하고 있다. 라이선스와 관련된 준법성은 각각의 조직들이 독자적으로 수동 혹은 자동 분석 방법에 따라 해당하는 라이선스를 확인하고 의무 사항을 수행하는 일련의 활동이 있어야 한다. 소프트웨어의 정확한 식별은 많은 공급망 프로세스의 핵심으로, 취약성 업데이트 적용은 시스템에서 사용 중인 소프트웨어 버전의 세부 정보를 파악하는 것에서 시작된다. 관련 라이선스를 준수하려면 각 조직이 독립적으로 수행하는 일련의 분석 활동과 실사가 필요하며, 여기에는 소프트웨어의 수동 및/또는 자동 스캔 및 관련 라이선스 식별 후 수동 확인이 포함될 수 있다.
전 세계 소프트웨어 개발 팀들이 같은 오픈소스 패키지를 사용하고 있지만, 이러한 분석 활동의 결과를 공유하거나 분석에 대한 협업을 촉진할 수 있는 인프라는 거의 없다. 그 결과 많은 그룹이 같은 작업을 수행하고 있어 중복된 노력과 중복된 정보가 발생하고 있다.
이 문서를 통해 정보교환명세 작업 그룹은 시간 절약 및 데이터 정확도 향상을 목표로 소프트웨어 패키지 및 관련 콘텐츠에 대한 정보를 수집하고 공통 형식으로 공유할 수 있도록 데이터 교환 형식을 만들었다.
정보교환명세 문서는 사용을 위한 라이선스와 정보교환명세파일의 특정 버전을 가진 분석 결과에 관련된 정보교환명세 문서의 생성 정보, 패키지 정보, 파일 정보, 스니펫 정보, 기타 라이선스 정보, 항목 간의 관계 정보, 주석 정보, 검토 정보 등으로 구성된 메타데이터다. 본 표준안은 최신의 정보교환명세 사양을 반영하고 있을 뿐만 아니라 국내 실정에 맞게 적용할 수 있도록 개선 사항과 수정 사항을 포함하고 있다.

영문 내용요약

Companies and organizations are widely using and reusing OSS and other software packages. Compliance with the associated licenses requires a set of analysis activities and due diligence that each Organization performs independently including identification of associated licenses followed by manual or automated verification. Software development teams across the globe use the same open source packages, but little infrastructure exists to facilitate collaboration on the analysis or share the results of these analysis activities. As a result, many groups are performing the same work leading to duplicated efforts and redundant information. The SPDX working group seeks to create a data exchange format so that information about software packages and related content may be collected and shared in a common format with the goal of
saving time and improving data accuracy of software package. SPDX Document Information is meta data that consists of creation information, package information, license information, file information and reviewer information to associate analysis results with a specific version of the SPDX file and license for use.