GitHub рассказал, как контролирует лицензии open source зависимостей в масштабе

GitHub опубликовал в корпоративном блоге материал о том, как его собственный Open Source Program Office (OSPO) использует новый продукт для контроля лицензий, чтобы управлять open source зависимостями в масштабе всей компании.

Зачем компаниям OSPO

Open Source Program Office — это специализированное подразделение, которое многие крупные технологические компании создают для управления использованием стороннего открытого кода: отслеживания лицензий, юридических рисков и соответствия внутренним политикам. У самого GitHub, как у одной из крупнейших платформ для разработки на базе открытого кода, задача контроля лицензий стоит особенно остро — компания одновременно и хостит миллионы open source проектов, и сама активно использует сторонние библиотеки в собственных продуктах.

Что решает продукт для контроля лицензий

Продукт для контроля лицензий, о котором идёт речь в материале, автоматизирует то, что раньше делалось вручную: сканирование зависимостей проекта, определение типа лицензии каждого пакета (MIT, Apache, GPL и десятков других) и проверку на соответствие корпоративной политике использования открытого кода.

• Материал описывает практику именно Open Source Program Office внутри GitHub
• Используется новый продукт GitHub для контроля лицензий open source зависимостей
• Задача — управление соответствием требованиям лицензий в масштабе (compliance at scale)

Для крупных организаций с сотнями и тысячами репозиториев ручная проверка лицензий каждой зависимости физически невозможна — несоответствие условиям лицензии (например, случайное использование кода с копилефт-лицензией в закрытом коммерческом продукте) способно обернуться юридическими и репутационными рисками.

Что это значит

Автоматизация контроля лицензий становится частью стандартного набора инструментов разработки наравне со сканированием уязвимостей — и то, что GitHub тестирует такие процессы на себе, показывает, куда движется индустрия управления open source зависимостями в крупных организациях.