GitHub explicó cómo controla el cumplimiento de licencias open source a escala

GitHub publicó un artículo en su blog corporativo sobre cómo su propia Open Source Program Office (OSPO) utiliza un nuevo producto para controlar licencias con el fin de gestionar dependencias open source a escala en toda la empresa.

Por qué las empresas necesitan OSPO

Open Source Program Office es una división especializada que muchas grandes empresas tecnológicas crean para gestionar el uso de código open source de terceros: rastrear licencias, riesgos legales y cumplimiento de políticas internas. Para GitHub mismo, como una de las plataformas más grandes para desarrollo basado en código open source, la tarea del control de licencias es especialmente aguda — la empresa simultáneamente aloja millones de proyectos open source y utiliza activamente bibliotecas de terceros en sus propios productos.

Qué resuelve el producto de control de licencias

El producto de control de licencias discutido en el artículo automatiza lo que se hacía manualmente: escanear dependencias del proyecto, determinar el tipo de licencia para cada paquete (MIT, Apache, GPL y docenas de otros) y verificar el cumplimiento de la política corporativa sobre el uso de código open source.

• El artículo describe la práctica de la Open Source Program Office dentro de GitHub
• Se utiliza un nuevo producto de GitHub para controlar licencias de dependencias open source
• El objetivo es gestionar el cumplimiento de requisitos de licencias a escala

Para las organizaciones grandes con cientos y miles de repositorios, la verificación manual de licencias para cada dependencia es físicamente imposible — el incumplimiento de las condiciones de licencia (por ejemplo, el uso accidental de código con una licencia copyleft en un producto comercial cerrado) puede resultar en riesgos legales y reputacionales.

Qué significa esto

La automatización del control de licencias se está convirtiendo en parte del conjunto de herramientas estándar del desarrollo, junto con el escaneo de vulnerabilidades — y el hecho de que GitHub esté probando tales procesos en sí mismo muestra hacia dónde se dirige la industria en la gestión de dependencias open source en organizaciones grandes.