SPDX

[EOST2023] 안전한 오픈소스 생태계를 위한 오소리 프로젝트

삼성전자의 '오소리(OSORI) 프로젝트'는 오픈소스 라이선스 정보를 투명하게 공개하여 누구나 법적 의무 사항을 쉽게 준수할 수 있도록 돕는 공익적 목적의 활동입니다. 기존에는 사내 포털인 '삼성 오픈소스 허브'를 통해 개발자들이 특정 프로젝트를 사용해도 되는지 신호등 모델로 직관적으로 알려주는 서비스를 제공해 왔습니다. 이러한 서비스는 복잡한 라이선스 해석 과정을 획기적으로 줄여주고 개발 효율성을 높여준다는 점에서 내부 임직원들로부터 매우 긍정적인 호응을 얻었습니다. 하지만 개별 기업이 독자적으로 DB를 운영하는 데에는 현실적인 한계가 있었습니다. 매일같이 쏟아지는 새로운 오픈소스 프로젝트와 오픈소스 라이선스를 실시간으로 업데이트하기에는 리소스가 부족했고, 법적 판결 사례가 드문 영역 특성상 라이선스 판단의 신뢰성을 확보하는 일도 쉽지 않았기 때문입니다. 개발자들에게는 편리한 신호등 모델이 관리자들에게는 늘 불안함과 찝찝함을 남기는 요소였기에, 이를 해결하기 위한 근본적인 변화가 필요하다는 점을 깊이 통감하게 되었습니다. 이러한 고민을 해결하기 위해 삼성전자는 오픈소스의 핵심 가치인 공유와 협력을 선택했습니다. 국내 커뮤니티인 '오픈체인 코리아 워킹그룹'에서 아이디어를 제안했고, 이에 공감한 LG전자와 카카오가 초기 멤버로 합류하며 프로젝트가 구체화되었습니다. 특히 한국저작권위원회가 중립적인 전문 기관으로서 지원을 약속하며 삼성, LG, 카카오 3사와 함께 업무 협약을 체결하게 되었습니다. 이는 국내 기업들이 각자 쌓아온 노하우를 한곳에 모으는 중대한 전환점이 되었습니다. 프로젝트 팀은 정교한 통합 스키마를 설계하기 위해 제주도에서 합숙까지 감행하며 SPDX 라이선스 리스트를 전수 분석했습니다. 라이선스 전문을 읽으며 의무 사항을 정의하고, 기업 입장에서의 실질적인 리스크를 1~5단계의 레벨과 신호등 모델로 구조화하는 고된 작업을 진행했습니다. 이를 통해 사용자들은 단순한 텍스트 정보를 넘어, 특정 오픈소스를 활용할 때 주의해야 할 제약 조건과 위험 수치를 시각화된 데이터로 명확하게 파악할 수 있는 기반을 마련하게 되었습니다. 오소리 프로젝트는 향후 MySQL 기반의 통합 스키마와 API를 제공하여 누구나 정보를 쉽게 활용하고 기여할 수 있는 개방형 생태계를 구축할 예정입니다. 국내 제조사들이 수십 년간 축적해온 검증 노하우가 집약된 이 DB는 중소기업이나 개인 개발자들에게 실무적인 가이드라인이 될 것입니다. 오픈소스의 진정한 가치가 상생에 있듯이, 오소리 프로젝트가 국내외 오픈소스 컴플라이언스 문화를 선도하고 건강한 소프트웨어 생태계를 만드는 신뢰의 초석이 되기를 기대합니다.