「OSS のライセンス管理を、属人的でなく仕組みとして回したい」——そのための国際標準が OpenChain＝ISO/IEC 5230 です。

ISO/IEC 5230（OpenChain）とは

ISO/IEC 5230:2020 は、OSSライセンス・コンプライアンスの管理プログラムが満たすべき要件を定めた国際標準です（Linux Foundation の OpenChain プロジェクト由来）。特定のツールや手順を強制するのではなく、「こういう体制・プロセスがあること」を求めます。

代表的な要素：

  • OSS ライセンスの**方針（ポリシー）**が定義されている
  • 役割と責任が明確（誰が判断するか）
  • OSS を特定・レビュー・承認する手順がある
  • 配布物に必要なライセンス情報・著作権表示を提供できる
  • 教育・周知が行われている

認証・適合の形

ISO/IEC 5230 は、自己認証（セルフ・サーティフィケーション）または第三者による適合確認のいずれでも対応できます。「適合しています」と掲げることで、取引先に対してOSS管理体制を示すことができます。

関連して、ISO/IEC 18974:2023 は OSS のセキュリティ保証プロセスの標準で、5230 と対になる位置づけです。

認証の要否・進め方は、OpenChain プロジェクトの公開情報や認証機関でご確認ください。本記事は技術的・事実的な整理であり、法的助言ではありません。

なぜ今 OpenChain なのか

取引先からの SBOM 要求や、EU CRA（CRA対応ページ）・FDA 524B（医療機器の524B）・PCI DSS（PCI DSSのSBOM要件）といった規制で、「OSS をきちんと管理している」ことを対外的に示す必要が高まっています。ISO/IEC 5230 はその共通言語になります。

中小がまず整える要点

いきなり認証を目指さなくても、5230 が求める「型」は中小でも作れます。

  1. OSSポリシーを1枚にする（使ってよい範囲・禁止事項・判断者）
  2. 新しい OSS を入れるときの確認フローを決める（依存追加時にライセンス確認）
  3. 製品ごとの SBOM／OSS棚卸しを持つ（SBOMとは？）
  4. 配布物に必要なライセンス表示・NOTICEを用意する

この「ポリシー＋フロー＋棚卸し＋表示」が、ISO/IEC 5230 適合の骨格であり、取引先要求への即応力にもなります。

まとめ

  • ISO/IEC 5230（OpenChain）＝OSSライセンス管理プロセスの国際標準。自己認証も可。
  • ISO/IEC 18974＝OSSセキュリティ保証の標準（対）。
  • 規制・取引先要求が増える今、「OSSを管理している」共通言語として価値が高い。

→ OpenChain 適合に向けたOSSポリシーのひな形づくりや、製品の**OSS棚卸し（無料サンプル）**からお手伝いできます。お問い合わせからどうぞ。