Trusted OSS

신뢰할 수 있는 오픈소스 공급망 관리 — ISO/IEC 5230 & 18974 실전 키트 + AI 코딩·DevSecOps 자동화 가이드

오픈소스 관리 경험이 전혀 없는 신규 담당자도 이 키트를 따라가면 ISO/IEC 5230과 18974 자체 인증 선언까지 완성할 수 있습니다. Agent가 회사 상황에 맞는 산출물을 자동 생성하며, 셀프스터디 방식으로 활용할 수 있습니다.

trustedoss.github.io 에서 웹 가이드와 브라우저 기반 도구를 바로 사용할 수 있습니다.

Trusted OSS는 오픈소스 공급망을 관리하는 데 필요한 가이드와 도구를 만드는 오픈소스 이니셔티브입니다. 이 저장소는 그중 가이드이고, 인증 산출물을 생성하는 Trusted OSS Agent와 자체 호스팅 SCA 포털 TRUSCA가 함께 있습니다. 구성은 GOVERNANCE.md에 정리돼 있습니다.

무엇을 제공하나요?

메뉴	내용
오픈소스 관리	ISO/IEC 5230 & 18974 기반 오픈소스 거버넌스 체계 구축 단계별 가이드
AI 코딩 거버넌스	Claude Code·Cursor·Copilot 등 AI 코딩 도구의 오픈소스 정책 자동 준수
DevSecOps	SAST·SCA·시크릿 탐지·컨테이너·IaC·DAST CI/CD 파이프라인 자동화
레퍼런스	정책 템플릿·SBOM 샘플·자체 인증 체크리스트

빠른 시작

웹사이트에서 바로 사용 (Claude Code 불필요)

브라우저에서 Anthropic API 키만으로 즉시 사용할 수 있는 도구를 제공합니다.

도구	설명	위치
Rules 생성기	AI 코딩 도구용 오픈소스 정책 파일 자동 생성	AI코딩 → Rules 템플릿
워크플로우 생성기	DevSecOps CI/CD 파이프라인 YAML 자동 생성	AI코딩 → Quick CI/CD
SBOM 분석기	SBOM 파일 업로드 → 취약점 대응 리포트	DevSecOps → SCA
SAST 분석기	Semgrep·CodeQL 결과 → 수정 가이드	DevSecOps → SAST
시크릿 분석기	Gitleaks 결과 → 즉시 대응 절차	DevSecOps → 시크릿 탐지
IaC 수정기	Checkov 결과 → 수정 코드 자동 생성	DevSecOps → IaC 보안

Claude Code로 실행

터미널이나 git, Claude Code를 처음 써 본다면 아래 명령을 실행하기 전에 1. 환경 준비 문서를 먼저 읽으세요. 터미널 여는 법부터 차례로 안내합니다.

# 1. 저장소 클론(파일 내려받기)
git clone https://github.com/trustedoss/trustedoss-agents.git

# 2. 프로젝트 진입 및 Claude Code 실행
cd trustedoss-agents && claude

# 3. 시작 안내 요청
# "어디서 시작해야 해?" 입력

체계 구축은 두 가지 깊이로 진행할 수 있습니다.

빠른 시작 (1~2시간): 시간이 부족하면 개요, 02 조직, 03 정책 세 챕터만 진행해 정책 초안까지 만듭니다.
풀 코스 (약 12~14시간): 00~07 챕터를 순서대로 진행해 자체 인증 선언문까지 완성합니다.

Agent 목록

아래 표의 Agent는 한국어로 질문하고 한국어 산출물을 만듭니다. 영어로 진행하려면 같은 이름의 영문 Agent가 agents/en/ 아래에 있습니다 (cd agents/en/02-organization-designer && claude). 영문 Agent는 templates/en/ 템플릿을 참조합니다.

체계구축 Agent (ISO/IEC 5230 & 18974)

Agent	역할	실행 방법
`agents/02-organization-designer`	조직·담당자 산출물 생성	`cd agents/02-organization-designer && claude`
`agents/03-policy-generator`	오픈소스 정책 문서 생성	`cd agents/03-policy-generator && claude`
`agents/04-process-designer`	프로세스 문서 및 흐름도 생성	`cd agents/04-process-designer && claude`
`agents/05-sbom-guide`	SBOM 생성 명령어 및 스크립트	`cd agents/05-sbom-guide && claude`
`agents/05-sbom-analyst`	SBOM 라이선스 분석 리포트	`cd agents/05-sbom-analyst && claude`
`agents/05-sbom-management`	SBOM 관리 계획 및 공유 템플릿	`cd agents/05-sbom-management && claude`
`agents/05-vulnerability-analyst`	취약점 분석 리포트	`cd agents/05-vulnerability-analyst && claude`
`agents/06-training-manager`	교육 커리큘럼 및 이수 추적	`cd agents/06-training-manager && claude`
`agents/07-conformance-preparer`	갭 분석 및 인증 선언문	`cd agents/07-conformance-preparer && claude`

AI 코딩·DevSecOps Agent (레벨 1 — 설정 파일 생성)

Agent	역할	실행 방법
`agents/ai-coding-setup`	프로젝트 분석 후 맞춤형 Rules 파일 생성	`cd agents/ai-coding-setup && claude`
`agents/devsecops-setup`	프로젝트 분석 후 CI/CD 파이프라인 파일 생성	`cd agents/devsecops-setup && claude`

AI 코딩·DevSecOps Agent (레벨 1 — 결과 분석)

Agent	역할	실행 방법
`agents/sbom-vuln-analyst`	SBOM·grype 결과 → 취약점 대응 리포트	`cd agents/sbom-vuln-analyst && claude`
`agents/sast-analyst`	Semgrep·CodeQL 결과 → 수정 가이드	`cd agents/sast-analyst && claude`
`agents/secret-analyst`	Gitleaks 결과 → 시크릿 대응 절차	`cd agents/secret-analyst && claude`
`agents/iac-fixer`	Checkov 결과 → IaC 수정 코드 생성	`cd agents/iac-fixer && claude`

CI/CD 연동 자동화 Agent (레벨 2)

Agent	역할	실행 방법
`agents/level2-automation/pr-comment`	PR 보안 분석 자동 코멘트 워크플로우 생성	`cd agents/level2-automation/pr-comment && claude`
`agents/level2-automation/issue-tracker`	정기 스캔 이슈 자동 등록 워크플로우 생성	`cd agents/level2-automation/issue-tracker && claude`

저장소 구조

trustedoss/
├── docs/                    # 챕터별 가이드 문서 (체계구축)
├── agents/                  # 산출물 자동 생성 Agent (한국어)
│   ├── en/                  # 같은 Agent의 영문판
│   ├── 02-organization-designer/
│   ├── 03-policy-generator/
│   ├── ...
│   ├── ai-coding-setup/     # AI 코딩 Rules 파일 생성
│   ├── devsecops-setup/     # DevSecOps 파이프라인 파일 생성
│   ├── sbom-vuln-analyst/   # SBOM 취약점 분석
│   ├── sast-analyst/        # SAST 결과 분석
│   ├── secret-analyst/      # 시크릿 탐지 결과 분석
│   ├── iac-fixer/           # IaC 수정 코드 생성
│   └── level2-automation/   # CI/CD 연동 자동화
├── templates/               # 문서 템플릿 (en/ 하위에 영문판)
├── samples/                 # 실습용 샘플 프로젝트
├── output/                  # 생성된 산출물 (.gitignore)
├── .claude/                 # Claude Code 설정 및 skills
└── website/                 # 문서 웹사이트 소스 (Docusaurus)

체계구축 챕터 목록

챕터	내용	셀프스터디
00-overview	두 표준 개요 및 체크리스트 매핑	1시간
00-overview/supply-chain	소프트웨어 공급망 보안 + SBOM 개념	1시간
01-setup	환경 준비 (Docker, Git, Claude Code)	30분~1시간
02-organization	조직 구성 및 담당자 지정	1시간
03-policy	오픈소스 정책 수립	1시간
04-process	오픈소스 프로세스 설계	1~2시간
05-tools/sbom-generation	SBOM 생성	1.5시간
05-tools/sbom-management	SBOM 관리 및 공유	1시간
05-tools/vulnerability	취약점 분석 및 대응	1시간
05-tools/ai-sbom	AI SBOM — 모델 ML-BOM 생성 (선택)	1시간
06-training	교육 체계 구축	1시간
07-conformance	자체 인증 선언	2시간
08-developer-guide	개발자 정책 적용 (선택)	2시간

최종 산출물 목록

파일	설명	충족 표준
`output/organization/role-definition.md`	오픈소스 담당자 역할 정의	5230 + 18974
`output/organization/raci-matrix.md`	역할·책임 매트릭스	5230 + 18974
`output/organization/appointment-template.md`	담당자 지정 공문 템플릿	5230 + 18974
`output/policy/oss-policy.md`	오픈소스 정책 문서	5230 + 18974
`output/policy/license-allowlist.md`	허용 라이선스 목록	5230
`output/process/usage-approval.md`	오픈소스 사용 승인 절차	5230
`output/process/distribution-checklist.md`	배포 전 체크리스트	5230
`output/process/vulnerability-response.md`	취약점 대응 절차	18974
`output/process/inquiry-response.md`	외부 문의 대응 절차	5230 + 18974
`output/process/contribution-process.md`	오픈소스 기여 프로세스	5230
`output/process/process-diagram.md`	전체 프로세스 다이어그램	5230 + 18974
`output/sbom/[project].cdx.json`	SBOM (CycloneDX 형식)	5230 + 18974
`output/sbom/license-report.md`	라이선스 분석 리포트	5230
`output/sbom/copyleft-risk.md`	Copyleft 위험 분석	5230
`output/sbom/sbom-management-plan.md`	SBOM 관리 계획	18974
`output/sbom/sbom-sharing-template.md`	SBOM 공유 템플릿	5230 + 18974
`output/vulnerability/cve-report.md`	CVE 취약점 분석 리포트	18974
`output/vulnerability/remediation-plan.md`	취약점 대응 계획	18974
`output/training/curriculum.md`	교육 커리큘럼	5230 + 18974
`output/training/completion-tracker.md`	교육 이수 추적	5230 + 18974
`output/training/resources.md`	교육 리소스 목록	5230 + 18974
`output/conformance/gap-analysis.md`	갭 분석 보고서	5230 + 18974
`output/conformance/declaration-draft.md`	자체 인증 선언문 초안	5230 + 18974
`output/conformance/submission-guide.md`	인증 등록 안내	5230 + 18974

기여 방법

OpenChain KWG 커뮤니티와 연계하여 운영됩니다. PR과 이슈 제출을 환영합니다.

라이선스

문서와 콘텐츠(docs/, agents/, templates/, website/ 안의 마크다운)는 CC BY 4.0, 사이트 코드는 MIT로 배포합니다. 전문은 LICENSE-docs와 LICENSE에 있습니다.

.claude/reference/kwg/는 OpenChain KWG 가이드의 사본이며, 원저작권은 The OpenChain KWG Authors에게 있습니다. 출처와 갱신 방법은 해당 폴더의 README를 참고하세요.

Trusted OSS — English

Trusted Open Source Supply Chain Management — ISO/IEC 5230 & 18974 Practical Kit + AI Coding & DevSecOps Automation Guide

Even those with no prior open source management experience can complete ISO/IEC 5230 and ISO/IEC 18974 self-certification declarations by following this kit. Agents automatically generate deliverables tailored to your organization, and the kit is designed for self-study.

The web guide and browser-based tools are available at trustedoss.github.io/en.

Trusted OSS is an open source initiative building the guides and tools needed to manage an open source supply chain. This repository is the guide; alongside it are Trusted OSS Agent, which generates conformance deliverables, and TRUSCA, a self-hosted SCA portal. See GOVERNANCE.md for how the projects fit together.

What We Offer

Section	Content
Open Source Management	Step-by-step guide to building an open source governance system based on ISO/IEC 5230 & 18974
AI Coding Governance	Automated open source policy compliance for AI coding tools like Claude Code, Cursor, and Copilot
DevSecOps	CI/CD pipeline automation for SAST, SCA, secret detection, container, IaC, and DAST
Reference	Policy templates, SBOM samples, and self-certification checklists

Quick Start

Use in the Browser (No Claude Code Required)

Browser-based tools are available with just an Anthropic API key.

Tool	Description	Location
Rules Generator	Auto-generate open source policy files for AI coding tools	AI Coding → Rules Template
Workflow Generator	Auto-generate DevSecOps CI/CD pipeline YAML	AI Coding → Quick CI/CD
SBOM Analyzer	Upload SBOM file → vulnerability response report	DevSecOps → SCA
SAST Analyzer	Semgrep/CodeQL results → fix guide	DevSecOps → SAST
Secret Analyzer	Gitleaks results → immediate response procedure	DevSecOps → Secret Detection
IaC Fixer	Checkov results → auto-generate fix code	DevSecOps → IaC Security

Run with Claude Code

New to the terminal, git, or Claude Code? Read 1. Environment Setup first — it walks through opening a terminal onward.

# 1. Clone the repository (download the files)
git clone https://github.com/trustedoss/trustedoss-agents.git

# 2. Enter the project and launch Claude Code
cd trustedoss-agents && claude

# 3. Ask for guidance (type in Korean)
# "어디서 시작해야 해?" (meaning: "Where should I start?")

You can build your program at two depths:

Quick start (1–2 hours): short on time? Cover just the Overview, 02 Organization, and 03 Policy chapters to reach a policy draft.
Full course (about 12–14 hours): work through chapters 00–07 in order to complete your self-certification statement.

Agent List

The agents below ask their questions and write their deliverables in English, and they read the templates in templates/en/. The Korean versions live at the same paths without the en/ segment (cd agents/02-organization-designer && claude).

Compliance Agents (ISO/IEC 5230 & 18974)

Agent	Role	How to Run
`agents/en/02-organization-designer`	Generate organization & role deliverables	`cd agents/en/02-organization-designer && claude`
`agents/en/03-policy-generator`	Generate open source policy document	`cd agents/en/03-policy-generator && claude`
`agents/en/04-process-designer`	Generate process documents & flowcharts	`cd agents/en/04-process-designer && claude`
`agents/en/05-sbom-guide`	Generate SBOM commands & scripts	`cd agents/en/05-sbom-guide && claude`
`agents/en/05-sbom-analyst`	Generate SBOM license analysis report	`cd agents/en/05-sbom-analyst && claude`
`agents/en/05-sbom-management`	Generate SBOM management plan & templates	`cd agents/en/05-sbom-management && claude`
`agents/en/05-vulnerability-analyst`	Generate vulnerability analysis report	`cd agents/en/05-vulnerability-analyst && claude`
`agents/en/06-training-manager`	Generate training curriculum & tracking	`cd agents/en/06-training-manager && claude`
`agents/en/07-conformance-preparer`	Generate gap analysis & declaration draft	`cd agents/en/07-conformance-preparer && claude`

AI Coding & DevSecOps Agents (Level 1 — Config Generation)

Agent	Role	How to Run
`agents/en/ai-coding-setup`	Analyze project and generate custom Rules files	`cd agents/en/ai-coding-setup && claude`
`agents/en/devsecops-setup`	Analyze project and generate CI/CD pipeline files	`cd agents/en/devsecops-setup && claude`

AI Coding & DevSecOps Agents (Level 1 — Result Analysis)

Agent	Role	How to Run
`agents/en/sbom-vuln-analyst`	SBOM/grype results → vulnerability report	`cd agents/en/sbom-vuln-analyst && claude`
`agents/en/sast-analyst`	Semgrep/CodeQL results → fix guide	`cd agents/en/sast-analyst && claude`
`agents/en/secret-analyst`	Gitleaks results → secret response procedure	`cd agents/en/secret-analyst && claude`
`agents/en/iac-fixer`	Checkov results → auto-generate IaC fix code	`cd agents/en/iac-fixer && claude`

CI/CD Automation Agents (Level 2)

Agent	Role	How to Run
`agents/en/level2-automation/pr-comment`	Generate PR security analysis auto-comment workflow	`cd agents/en/level2-automation/pr-comment && claude`
`agents/en/level2-automation/issue-tracker`	Generate scheduled scan issue auto-filing workflow	`cd agents/en/level2-automation/issue-tracker && claude`

Repository Structure

trustedoss/
├── docs/                    # Chapter-by-chapter guide documents
├── agents/                  # Deliverable auto-generation agents (Korean)
│   ├── en/                  # The same agents in English
│   ├── 02-organization-designer/
│   ├── 03-policy-generator/
│   ├── ...
│   ├── ai-coding-setup/     # AI coding Rules file generation
│   ├── devsecops-setup/     # DevSecOps pipeline file generation
│   ├── sbom-vuln-analyst/   # SBOM vulnerability analysis
│   ├── sast-analyst/        # SAST result analysis
│   ├── secret-analyst/      # Secret detection result analysis
│   ├── iac-fixer/           # IaC fix code generation
│   └── level2-automation/   # CI/CD integration automation
├── templates/               # Document templates (English under en/)
├── samples/                 # Sample projects for practice
├── output/                  # Generated deliverables (.gitignore)
├── .claude/                 # Claude Code configuration & skills
└── website/                 # Documentation website source (Docusaurus)

Chapter List

Chapter	Content	Self-study
00-overview	Overview of both standards & checklist mapping	1 hour
00-overview/supply-chain	Software supply chain security + SBOM concepts	1 hour
01-setup	Environment setup (Docker, Git, Claude Code)	30 min–1 hour
02-organization	Organizational structure & role assignment	1 hour
03-policy	Open source policy establishment	1 hour
04-process	Open source process design	1–2 hours
05-tools/sbom-generation	SBOM generation	1.5 hours
05-tools/sbom-management	SBOM management & sharing	1 hour
05-tools/vulnerability	Vulnerability analysis & response	1 hour
05-tools/ai-sbom	AI SBOM — model ML-BOM generation (optional)	1 hour
06-training	Training program setup	1 hour
07-conformance	Self-certification declaration	2 hours
08-developer-guide	Developer policy enforcement (optional)	2 hours

Deliverables

File	Description	Standard
`output/organization/role-definition.md`	Open source program manager role definition	5230 + 18974
`output/organization/raci-matrix.md`	RACI responsibility matrix	5230 + 18974
`output/organization/appointment-template.md`	Role appointment letter template	5230 + 18974
`output/policy/oss-policy.md`	Open source policy document	5230 + 18974
`output/policy/license-allowlist.md`	Approved license list	5230
`output/process/usage-approval.md`	Open source usage approval procedure	5230
`output/process/distribution-checklist.md`	Pre-distribution checklist	5230
`output/process/vulnerability-response.md`	Vulnerability response procedure	18974
`output/process/inquiry-response.md`	External inquiry response procedure	5230 + 18974
`output/process/contribution-process.md`	Open source contribution process	5230
`output/process/process-diagram.md`	End-to-end process diagram	5230 + 18974
`output/sbom/[project].cdx.json`	SBOM (CycloneDX format)	5230 + 18974
`output/sbom/license-report.md`	License analysis report	5230
`output/sbom/copyleft-risk.md`	Copyleft risk analysis	5230
`output/sbom/sbom-management-plan.md`	SBOM management plan	18974
`output/sbom/sbom-sharing-template.md`	SBOM sharing template	5230 + 18974
`output/vulnerability/cve-report.md`	CVE vulnerability analysis report	18974
`output/vulnerability/remediation-plan.md`	Vulnerability remediation plan	18974
`output/training/curriculum.md`	Training curriculum	5230 + 18974
`output/training/completion-tracker.md`	Training completion tracker	5230 + 18974
`output/training/resources.md`	Training resource list	5230 + 18974
`output/conformance/gap-analysis.md`	Gap analysis report	5230 + 18974
`output/conformance/declaration-draft.md`	Self-certification declaration draft	5230 + 18974
`output/conformance/submission-guide.md`	Certification registration guide	5230 + 18974

Links

Contributing

This project is operated in collaboration with the OpenChain KWG community. Pull requests and issues are welcome.

License

Documentation and content (markdown under docs/, agents/, templates/, and website/) is released under CC BY 4.0; the site code is released under MIT. Full texts are in LICENSE-docs and LICENSE.

.claude/reference/kwg/ is a copy of the OpenChain KWG guides; the original copyright belongs to The OpenChain KWG Authors. See the README in that folder for attribution and sync details.

Name		Name	Last commit message	Last commit date
.claude		.claude
.github		.github
.husky		.husky
agents		agents
deck		deck
docs		docs
dry-run		dry-run
output-sample		output-sample
packages/lint-examples		packages/lint-examples
plugins		plugins
samples		samples
scripts		scripts
templates		templates
tests		tests
website		website
.claudeignore		.claudeignore
.gitignore		.gitignore
.ko-style-baseline.json		.ko-style-baseline.json
.lighthouserc.json		.lighthouserc.json
.prettierrc.json		.prettierrc.json
.yarnrc.yml		.yarnrc.yml
CLAUDE.md		CLAUDE.md
CONTRIBUTING.md		CONTRIBUTING.md
GOVERNANCE.md		GOVERNANCE.md
LICENSE		LICENSE
LICENSE-docs		LICENSE-docs
MAINTAINERS.md		MAINTAINERS.md
README.md		README.md
STYLEGUIDE.md		STYLEGUIDE.md
eslint.config.js		eslint.config.js
netlify.toml		netlify.toml
package-lock.json		package-lock.json
package.json		package.json
yarn.lock		yarn.lock

Navigation Menu

Uh oh!

Repository files navigation

Trusted OSS

무엇을 제공하나요?

빠른 시작

웹사이트에서 바로 사용 (Claude Code 불필요)

Claude Code로 실행

Agent 목록

체계구축 Agent (ISO/IEC 5230 & 18974)

AI 코딩·DevSecOps Agent (레벨 1 — 설정 파일 생성)

AI 코딩·DevSecOps Agent (레벨 1 — 결과 분석)

CI/CD 연동 자동화 Agent (레벨 2)

저장소 구조

체계구축 챕터 목록

최종 산출물 목록

관련 링크

기여 방법

라이선스

Trusted OSS — English

What We Offer

Quick Start

Use in the Browser (No Claude Code Required)

Run with Claude Code

Agent List

Compliance Agents (ISO/IEC 5230 & 18974)

AI Coding & DevSecOps Agents (Level 1 — Config Generation)

AI Coding & DevSecOps Agents (Level 1 — Result Analysis)

CI/CD Automation Agents (Level 2)

Repository Structure

Chapter List

Deliverables

Links

Contributing

License

About

Releases

Packages

Contributors

Languages

Uh oh!

Latest commit

History

Folders and files

Repository files navigation

Trusted OSS

무엇을 제공하나요?

빠른 시작

웹사이트에서 바로 사용 (Claude Code 불필요)

Claude Code로 실행

Agent 목록

체계구축 Agent (ISO/IEC 5230 & 18974)

AI 코딩·DevSecOps Agent (레벨 1 — 설정 파일 생성)

AI 코딩·DevSecOps Agent (레벨 1 — 결과 분석)

CI/CD 연동 자동화 Agent (레벨 2)

저장소 구조

체계구축 챕터 목록

최종 산출물 목록

관련 링크

기여 방법

라이선스

Trusted OSS — English

What We Offer

Quick Start

Use in the Browser (No Claude Code Required)

Run with Claude Code

Agent List

Compliance Agents (ISO/IEC 5230 & 18974)

AI Coding & DevSecOps Agents (Level 1 — Config Generation)

AI Coding & DevSecOps Agents (Level 1 — Result Analysis)

CI/CD Automation Agents (Level 2)

Repository Structure

Chapter List

Deliverables

Links

Contributing

License

About

Resources

Contributing

Stars

Watchers

Forks

Releases

Packages

Contributors

Languages