ETRI, 출연연 오픈소스 협의체를 범출연연 단위로 키움

• ETRI가 출연연 오픈소스 협의체를 ‘범출연연’ 단위로 확대함

  • 이 협의체는 2022년 8월 ETRI가 주도해 만든 정부출연연구기관 간 협력 네트워크에서 출발했음
  • 처음에는 8개 기관이 참여하는 형태였고, 이번 확대를 통해 공공 R&D 전반의 오픈소스 관리 체계를 더 넓히려는 흐름임

• 배경은 꽤 현실적임. 오픈소스는 편하지만, 리스크도 같이 딸려옴

  • 오픈소스는 소스코드가 공개돼 누구나 수정·활용할 수 있는 소프트웨어(SW)지만, 원저작권자가 정한 라이선스 의무를 안 지키면 법적 분쟁이 생길 수 있음
  • 처음부터 보안 취약점이 들어 있는 오픈소스를 가져다 쓰는 경우도 있어서, 단순히 “잘 돌아가네”로 끝낼 문제가 아님
  • 특히 요즘처럼 오픈소스 사용량이 많고 소프트웨어 공급망이 복잡해진 환경에서는, 개별 연구기관이 혼자 다 추적하고 대응하기가 빡셈

• 협의체가 하려는 일은 꽤 실무적임

  • 오픈소스 관련 이슈가 생기면 기관들이 공동으로 대응함
  • 각 기관이 쌓은 오픈소스 거버넌스 구축 경험을 공유함
  • 실제 활용 사례를 퍼뜨리고, 테크데이 같은 행사를 통해 기술·정책 논의를 이어감
  • 공공 R&D의 효율성만 보는 게 아니라 안정성까지 같이 챙기겠다는 방향임

• ETRI 쪽 메시지도 “기술 공유”보다 “국가 R&D 생태계 전략”에 가까움

  • ETRI 이승환 기획본부장은 출연연 간 오픈소스 협력이 단순한 기술 공유를 넘어 국가 연구개발 생태계 경쟁력을 높이는 핵심 전략이라고 설명함
  • 협의체를 중심으로 상생 협력, 지속가능한 연구 환경, ESG 경영에도 기여하겠다는 입장임

• 개발자 입장에서 보면, 이건 공공기관만의 얘기로 넘기기 애매함

  • 회사에서도 오픈소스 라이브러리 하나 잘못 쓰면 보안팀, 법무팀, 제품팀이 다 같이 피곤해지는 일이 생김
  • 연구기관은 결과물이 기술이전, 사업화, 공공 시스템 적용으로 이어질 수 있어서 라이선스와 취약점 관리가 더 민감할 수 있음
  • 결국 오픈소스는 “무료 부품”이 아니라 “관리해야 하는 의존성”이라는 인식이 더 강해지는 중임

---

기술 맥락

• 이번 결정의 핵심은 오픈소스를 기관별 개발팀 재량에만 맡기지 않겠다는 거예요. 오픈소스는 코드 품질 문제뿐 아니라 라이선스 의무, 보안 취약점, 배포 책임이 같이 붙기 때문에 공공 R&D처럼 결과물이 넓게 퍼질 수 있는 환경에서는 관리 체계가 필요하거든요.

• ETRI가 협의체를 키우는 이유는 개별 기관이 모든 오픈소스 리스크를 혼자 감당하기 어렵기 때문이에요. 사용하는 패키지가 많아지고 공급망이 복잡해지면, 어떤 라이브러리가 어떤 라이선스를 갖고 있고 어떤 취약점에 노출됐는지 추적하는 비용이 확 늘어나요.

• 그래서 공동 대응, 거버넌스 경험 공유, 활용 사례 확산 같은 방식이 나오는 거예요. 각 기관이 같은 시행착오를 반복하기보다 이미 만든 기준과 대응 경험을 나누면, 연구개발 속도와 안정성을 동시에 챙길 수 있거든요.

• 개발 조직 관점에서도 메시지는 분명해요. 오픈소스를 많이 쓰는 조직일수록 “누가 승인하고, 누가 추적하고, 문제가 생기면 누가 대응할지”를 정해둬야 해요. 이게 없으면 취약점 하나, 라이선스 하나가 나중에 제품 출시나 기술 이전 단계에서 발목을 잡을 수 있어요.