파이프라인으로 충족하는 ISO/IEC 18974 항목
이 페이지는 ISO/IEC 18974(오픈소스 보안 보증) 에 초점을 맞춥니다. 이 DevSecOps 가이드에서 구현한 내용이 표준 요구사항의 어느 항목을 충족하는지 확인할 수 있습니다. 라이선스 컴플라이언스 표준인 ISO/IEC 5230은 이 가이드 범위 밖입니다.
항목별 인증 질문과 입증자료는 요구사항 상세 대조표가 정본입니다. 두 표준이 무엇을 요구하는지는 표준 요구사항 한눈에에 요약돼 있습니다. 이 페이지는 그중 DevSecOps 파이프라인으로 구현 가능한 18974 항목만 다룹니다.
DevSecOps 구현과 요구사항 매핑
이 가이드에서 구현한 DevSecOps 파이프라인이 ISO/IEC 18974의 주요 요구사항을 어떻게 충족하는지 아래 표로 정리합니다.
| 요구사항 번호 | 요구사항 내용 (요약) | 구현 방법 | 관련 페이지 |
|---|---|---|---|
| 4.1.1 | 보안 보증 정책 문서화 | DevSecOps 전략·SLA 정책 문서 | 도입 전략 |
| 4.1.3 | 참여자의 정책·절차 인식 | 파이프라인 실패 안내와 절차 문서화 | 파이프라인 설계 |
| 4.3.1 | SBOM 지속 기록과 보관 | syft SBOM 자동 생성, 릴리즈별 보관 | SCA, 모니터링 |
| 4.3.2 | 알려진 취약점 탐지와 조치 | grype CVE 스캔과 PR 차단, SLA·예외처리 | SCA |
| 4.3.2 | 출시 후 모니터링과 신규 취약점 대응 | 정기 스캔, Dependabot·Renovate 추적 | 모니터링 |
| 4.4.1 | 전체 요구사항 충족 증적 | 스캔 결과·SBOM 아티팩트 보관으로 증적 유지 | 모니터링 |
외부 취약점 문의 채널(§4.2.1)과 역할·인력·예산 문서(§4.2.2) 같은 조직 요건은 CI 파이프라인이 아니라 체계구축 트랙의 산출물이 담당합니다. 항목 전체와 입증자료는 요구사항 상세 대조표를 기준으로 확인하세요.
자체 인증 준비 체크리스트
OpenChain 자체 인증은 선언 방식이지만 감사 요청 시 증적을 제시할 수 있어야 합니다.
-
보안 정책 문서
- DevSecOps 도입 전략 문서 (strategy.md 기반)
- 취약점 심각도별 SLA 정의 문서
- 예외처리 승인 프로세스 문서
-
SBOM 증적
- CI/CD에서 자동 생성된 SBOM 파일 (릴리즈 버전별 보관)
- SBOM 생성 도구·포맷·주기 명시 문서
-
취약점 관리 증적
- grype 스캔 결과 아티팩트
- 예외 처리된 CVE 목록·승인 기록 (.grype.yaml 주석 포함)
- 취약점 발견→수정 이력 (GitHub Issues·PR)
-
지속적 모니터링 증적
- 정기 스캔 워크플로우 실행 로그
- Dependabot·Renovate PR 이력
- 신규 CVE 알림→대응 타임라인
한계 및 주의사항
DevSecOps 범위: 이 가이드의 DevSecOps 구현은 ISO/IEC 18974의 오픈소스 보안 보증에 초점을 맞춥니다. SAST·DAST·IaC 보안 등 추가 영역은 표준 요구사항을 넘어서는 보안 강화 활동으로, 인증 범위를 넘어서는 선택적 개선입니다.
ISO/IEC 5230 별도 준비 필요: 라이선스 컴플라이언스 표준인 ISO/IEC 5230은 이 가이드 범위 밖입니다. 체계구축 가이드를 참고하세요.
자체 인증 선언 절차: 위 증적을 갖췄다면 선언은 자체 인증 선언 챕터의 절차를 따릅니다. 등록 방법과 유효 기간 관리가 거기에 있습니다.