GitHub explicou como controla conformidade de licenças open source em escala

GitHub publicou um artigo em seu blog corporativo sobre como seu próprio Open Source Program Office (OSPO) usa um novo produto para controlar licenças a fim de gerenciar dependências open source em escala em toda a empresa.

Por que as empresas precisam de OSPO

Open Source Program Office é uma divisão especializada que muitas grandes empresas de tecnologia criam para gerenciar o uso de código open source de terceiros: rastrear licenças, riscos legais e conformidade com políticas internas. Para o próprio GitHub, como uma das maiores plataformas para desenvolvimento baseado em código open source, a tarefa do controle de licenças é especialmente aguda — a empresa simultaneamente hospeda milhões de projetos open source e usa ativamente bibliotecas de terceiros em seus próprios produtos.

O que o produto de controle de licenças resolve

O produto de controle de licenças discutido no artigo automatiza o que era feito manualmente: escanear dependências do projeto, determinar o tipo de licença para cada pacote (MIT, Apache, GPL e dezenas de outros) e verificar a conformidade com a política corporativa sobre o uso de código open source.

• O artigo descreve a prática do Open Source Program Office dentro do GitHub
• Um novo produto GitHub é usado para controlar licenças de dependências open source
• O objetivo é gerenciar a conformidade com requisitos de licenças em escala

Para grandes organizações com centenas e milhares de repositórios, verificar manualmente as licenças para cada dependência é fisicamente impossível — o não cumprimento das condições de licença (por exemplo, uso acidental de código com uma licença copyleft em um produto comercial fechado) pode resultar em riscos legais e de reputação.

O que isto significa

A automatização do controle de licenças está se tornando parte do conjunto de ferramentas padrão do desenvolvimento, juntamente com varredura de vulnerabilidades — e o fato de GitHub estar testando esses processos em si mesmo mostra para onde a indústria está se movendo no gerenciamento de dependências open source em grandes organizações.