著作傳 (Copyleft)

著作傳（Copyleft）是一種巧妙運用現行著作權（Copyright）制度的授權方式，其目的並非限制，而是確保衍生作品能永久地「自由」傳播。此概念由理查・史托曼為GNU計畫所推動，核心精神在於：任何使用者在散布含有Copyleft條款的軟體或其衍生作品時，必須採用相同或相容的授權條款，從而保障後續使用者也能擁有修改與再散布的自由。在企業風險管理體系中，Copyleft授權的軟體是軟體供應鏈風險的關鍵一環。國際標準 ISO/IEC 5230:2020 (OpenChain) 即要求企業必須建立流程，以識別並遵循開源軟體授權（包含Copyleft）的義務。這與僅要求標示來源的「寬鬆式授權」（Permissive License，如MIT、Apache）形成鮮明對比，後者不強制衍生作品必須開源。因此，精準識別並管理Copyleft組件，是避免非預期程式碼開源法律風險的必要措施。

在企業風險管理中，管理Copyleft授權的風險需遵循系統化步驟，以確保智慧財產權安全與法規遵循。第一步為「盤點與識別」：導入軟體組成分析（Software Composition Analysis, SCA）工具，自動掃描企業內部的程式碼庫，生成軟體物料清單（SBOM），精準識別所有開源組件及其授權類型，特別是強Copyleft（如GPL）與弱Copyleft（如LGPL）的組件。第二步為「風險評估與政策制定」：根據掃描結果，評估將Copyleft組件與公司專有程式碼結合的法律風險，並依據ISO/IEC 5230框架，制定明確的開源軟體使用政策，規範不同風險等級的授權在不同產品中的使用權限。第三步為「整合與持續監控」：將SCA掃描整合至持續整合/持續部署（CI/CD）流程中，在開發早期即時發現並阻擋不合規的組件。此流程不僅能將法務風險降低超過90%，更能確保在併購或客戶稽核時，能快速提供合規證明，顯著提升審計通過率。

台灣企業在導入Copyleft風險管理時，普遍面臨三大挑戰。首先是「法務資源匱乏」，多數企業缺乏專精於國際開源授權的法務人員，難以準確解讀GPL、AGPL等複雜條款的法律義務。其次是「技術債務與遺留系統」，許多關鍵系統的程式碼庫龐大且年代久遠，缺乏完整的依賴關係紀錄，導致進行全面的授權盤點極為困難且成本高昂。最後是「開發文化衝突」，研發團隊為求快速交付，常忽略授權合規性，傾向直接使用網路上的開源碼，造成「先使用後治理」的風險困境。為克服這些挑戰，建議的優先行動項目為：一、尋求外部專家顧問（90天內），建立符合ISO/IEC 5230標準的管理框架與內部教育訓練。二、採用自動化SCA工具（60天內），優先針對即將發布或核心營收產品進行掃描，建立基準線。三、將授權掃描整合進CI/CD流程（180天內），從文化與流程上落實「安全左移」（Shift Left），將合規責任前移至開發階段。