GitHub explica cómo controla las licencias de sus dependencias open source a gran escala

GitHub ha publicado en su blog corporativo un artículo en el que explica cómo su propia Open Source Program Office (OSPO) utiliza un nuevo producto de control de licencias para gestionar las dependencias open source en toda la compañía.

Para qué sirve una OSPO en una empresa

Una Open Source Program Office es un departamento especializado que muchas grandes tecnológicas crean para gestionar el uso de código abierto de terceros: seguimiento de licencias, riesgos legales y cumplimiento de las políticas internas. En el caso de GitHub, una de las mayores plataformas de desarrollo basadas en código abierto, el control de licencias es especialmente crítico: la compañía aloja millones de proyectos open source y, al mismo tiempo, utiliza activamente bibliotecas de terceros en sus propios productos.

Qué resuelve el producto de control de licencias

El producto de control de licencias del que habla el artículo automatiza tareas que antes se hacían a mano: escanear las dependencias de un proyecto, identificar el tipo de licencia de cada paquete (MIT, Apache, GPL y decenas más) y comprobar que cumple la política corporativa de uso de código abierto.

• El artículo describe específicamente la práctica de la Open Source Program Office dentro de GitHub
• Se utiliza un nuevo producto de GitHub para controlar las licencias de las dependencias open source
• El objetivo es gestionar el cumplimiento de los requisitos de licencias a gran escala (compliance at scale)

En grandes organizaciones con cientos o miles de repositorios, revisar manualmente la licencia de cada dependencia es físicamente imposible. Incumplir los términos de una licencia (por ejemplo, usar por error código con licencia copyleft en un producto comercial cerrado) puede acarrear riesgos legales y reputacionales.

Qué significa esto

La automatización del control de licencias se está incorporando al conjunto estándar de herramientas de desarrollo, al mismo nivel que el escaneo de vulnerabilidades. Que GitHub pruebe estos procesos en casa indica hacia dónde se dirige la gestión de dependencias open source en las grandes organizaciones.