guide: TrustedOSS 소개 페이지와 TRUSCA 도구 페이지 추가

content/en/guide/opensource_for_enterprise/_index.md

@@ -56,6 +56,8 @@ By complying with the requirements of ISO/IEC 5230 and ISO/IEC 18974, companies
 
 This guide provides detailed methods and examples for how companies can implement each element.
 
+You can also work through these six elements with an AI agent producing the deliverables as you go. See [TrustedOSS](../trustedoss/), published by the author of this guide out of KWG community work.
+
 ## References
 
 {{% pageinfo %}}

content/en/guide/tools/11-trusca/_index.md

@@ -0,0 +1,40 @@
+---
+title: "TRUSCA"
+weight: 11
+type: docs
+categories: ["guide"]
+tags: ["trusca", "sca", "sbom", "cve", "vulnerability"]
+---
+
+Managing the vulnerabilities and licenses of open source components calls for an SCA (Software Composition Analysis) tool. Several commercial products exist, but some organizations look for an open source tool they can install and run on their own infrastructure.
+
+TRUSCA is a self-hosted SCA portal published for that purpose. Released under Apache 2.0, it brings vulnerabilities (CVE), license compliance, and SBOM management into a single screen. It is developed by [TrustedOSS](../../trustedoss/), a project that grew out of KWG community work.
+
+## Features
+
+- Component detection across more than 30 language ecosystems (based on cdxgen), distinguishing direct from transitive dependencies
+- Vulnerability detection from Trivy's unified database (NVD, OSV, GitHub Advisory, EPSS, KEV) with a seven-state VEX triage workflow and EPSS-based prioritization
+- License classification (allowed, conditional, forbidden), obligation tracking, and automatic NOTICE file generation
+- SBOM export (CycloneDX JSON and XML, SPDX JSON and Tag-Value) and ingestion of SBOMs produced by other tools
+- Component approval workflow (pending, under review, approved, rejected), audit log, and role-based access control
+- GitHub Action, GitLab CI template, and Jenkinsfile examples. Builds can be configured to stop when a critical vulnerability or a forbidden license is detected
+- Korean and English user interface
+
+## Installation
+
+A development environment can be started with Docker Compose.
+
+```bash
+git clone https://github.com/trustedoss/trusca.git
+cd trusca
+cp .env.example .env
+docker-compose -f docker-compose.dev.yml up
+```
+
+The containers become ready in about 30 seconds, and the portal is available at http://localhost:5173. For production, use Docker Compose (bundled with Traefik and Let's Encrypt) or the Kubernetes Helm chart. See the official documentation for details. : [https://trustedoss.github.io/trusca/docs/installation/docker-compose](https://trustedoss.github.io/trusca/docs/installation/docker-compose)
+
+## Trying it first
+
+To see the features before installing, use the read-only demo site. : [https://trusca-demo.duckdns.org](https://trusca-demo.duckdns.org)
+
+It is seeded with real projects, scans, vulnerabilities, licenses, and SBOMs, and it resets daily. You can also upload a CycloneDX SBOM to see how it is matched against licenses and vulnerabilities. Sign-in details are provided on the demo site.

content/en/guide/trustedoss/_index.md

@@ -0,0 +1,48 @@
+---
+title: "TrustedOSS"
+linkTitle: "TrustedOSS"
+weight: 50
+type: docs
+categories: ["guide"]
+tags: ["TrustedOSS", "TRUSCA", "self-certification", "DevSecOps", "AI coding"]
+description: >
+  A community resource that helps you turn the management framework described in this guide into actual deliverables.
+---
+
+{{% pageinfo %}}
+
+TrustedOSS grew out of KWG community work and was published by the author of this guide.
+Its documentation is released under CC BY 4.0 and its code under MIT and Apache 2.0.
+
+**Site: [https://trustedoss.github.io/en/](https://trustedoss.github.io/en/)**
+
+{{% /pageinfo %}}
+
+TrustedOSS covers four areas.
+
+## Generating self-certification deliverables
+
+It produces the documents required for ISO/IEC 5230 and ISO/IEC 18974 self-certification
+through a conversation with an AI agent: organizational setup, policy, processes, SBOM
+analysis, vulnerability reports, training curricula, and a draft conformance statement.
+It follows the same six steps described in the
+[open source management guide](../opensource_for_enterprise/).
+
+## DevSecOps pipeline
+
+It covers how to add security checks to a CI/CD pipeline, walking through SAST, DAST, SCA,
+secret detection, container security, and IaC security, and mapping each one to the
+corresponding ISO/IEC 18974 clauses.
+
+## AI coding governance
+
+It covers the rules an organization needs when its developers use AI coding tools: agent
+permissions, security review of AI-generated code, licensing and legal questions, and the
+connection to ISO/IEC 42001. It also provides rule file examples for Claude Code, GitHub
+Copilot, Cursor, and other tools.
+
+## TRUSCA
+
+A self-hosted open source SCA portal that brings vulnerabilities (CVE), license compliance,
+and SBOM management into a single screen. Installation and usage are covered on the
+[TRUSCA tool page](../tools/11-trusca/).

content/ko/guide/opensource_for_enterprise/_index.md

@@ -67,6 +67,9 @@ ISO/IEC 5230과 ISO/IEC 18974의 요구사항을 준수함으로써 기업은 
 섹션 순서대로 읽으면서 각 섹션이 안내하는 문서와 절차를 하나씩 만들어가세요:
 `1. 조직 → 2. 정책 → 3. 프로세스 → 4. 도구 → 5. 교육 → 6. 준수선언`
 
+이 여섯 단계의 산출물을 AI 에이전트와 대화하며 만들어 가는 방법도 있습니다. 이 가이드의 저자가
+KWG 커뮤니티 활동에서 공개한 [TrustedOSS](../trustedoss/)를 참고하세요.
+
 ### OpenChain 인증을 준비하는 경우
 
 아래 "입증자료 커버리지" 표를 체크리스트로 활용하세요.

content/ko/guide/tools/11-trusca/_index.md

@@ -0,0 +1,40 @@
+---
+title: "TRUSCA"
+weight: 11
+type: docs
+categories: ["guide"]
+tags: ["trusca", "sca", "sbom", "cve", "취약점"]
+---
+
+기업이 오픈소스 컴포넌트의 취약점과 라이선스를 관리하려면 SCA(Software Composition Analysis) 도구가 필요하다. 상용 제품이 여럿 있으나, 사내에 직접 설치해 운영할 수 있는 오픈소스 도구를 찾는 경우도 있다.
+
+TRUSCA는 이러한 용도로 공개된 자체 호스팅 SCA 포털이다. Apache 2.0 라이선스로 배포하며, 취약점(CVE), 라이선스 컴플라이언스, SBOM 관리를 하나의 화면에서 다룬다. KWG 커뮤니티 활동에서 출발한 [TrustedOSS](../../trustedoss/) 프로젝트가 개발하고 있다.
+
+## 주요 특징
+
+- 30여 개 언어 생태계의 컴포넌트 검출(cdxgen 기반), 직접 의존성과 전이 의존성 구분
+- Trivy 통합 데이터베이스(NVD, OSV, GitHub Advisory, EPSS, KEV) 기반 취약점 검출과 7단계 VEX 분류 절차, EPSS 점수 기반 우선순위 지정
+- 라이선스 분류(허용, 조건부, 금지)와 의무사항 추적, 고지문(NOTICE) 자동 생성
+- SBOM 내보내기(CycloneDX JSON·XML, SPDX JSON·Tag-Value)와 외부에서 만든 SBOM 가져오기
+- 컴포넌트 승인 절차(검토 대기, 검토 중, 승인, 반려), 감사 로그, 역할 기반 권한 관리
+- GitHub Action, GitLab CI 템플릿, Jenkinsfile 예시 제공. 심각한 취약점이나 금지 라이선스가 검출되면 빌드를 중단하도록 설정할 수 있다
+- 한국어와 영어 화면 지원
+
+## 설치
+
+Docker Compose로 개발 환경을 띄울 수 있다.
+
+```bash
+git clone https://github.com/trustedoss/trusca.git
+cd trusca
+cp .env.example .env
+docker-compose -f docker-compose.dev.yml up
+```
+
+30초 정도 지나면 컨테이너가 준비되고 http://localhost:5173 으로 접속할 수 있다. 운영 환경은 Docker Compose(Traefik과 Let's Encrypt 포함)나 Kubernetes Helm 차트로 구축한다. 자세한 절차는 공식 문서를 참고한다. : [https://trustedoss.github.io/trusca/docs/installation/docker-compose](https://trustedoss.github.io/trusca/docs/installation/docker-compose)
+
+## 미리 살펴보기
+
+설치 전에 기능을 확인하려면 읽기 전용 데모 사이트를 이용할 수 있다. : [https://trusca-demo.duckdns.org](https://trusca-demo.duckdns.org)
+
+실제 프로젝트와 스캔 결과, 취약점, 라이선스, SBOM이 들어 있고 매일 초기화된다. CycloneDX 형식의 SBOM을 올려 라이선스와 취약점이 어떻게 대조되는지 확인할 수도 있다. 접속 계정은 데모 사이트 안내를 참고한다.

content/ko/guide/trustedoss/_index.md

@@ -0,0 +1,45 @@
+---
+title: "TrustedOSS"
+linkTitle: "TrustedOSS"
+weight: 50
+type: docs
+categories: ["guide"]
+tags: ["TrustedOSS", "TRUSCA", "자체 인증", "DevSecOps", "AI 코딩"]
+description: >
+  이 가이드가 설명하는 오픈소스 관리 체계를 산출물로 만드는 것을 돕는 커뮤니티 자료입니다.
+---
+
+{{% pageinfo %}}
+
+TrustedOSS는 KWG 커뮤니티 활동에서 출발한 프로젝트로, 이 가이드의 저자가 공개했습니다.
+문서는 CC BY 4.0, 코드는 MIT와 Apache 2.0으로 배포합니다.
+
+**사이트: [https://trustedoss.github.io/](https://trustedoss.github.io/)**
+
+{{% /pageinfo %}}
+
+TrustedOSS는 다음 네 가지를 다룹니다.
+
+## 자체 인증 산출물 생성
+
+ISO/IEC 5230과 ISO/IEC 18974 자체 인증에 필요한 문서를 AI 에이전트와 대화하며 만듭니다.
+조직 구성, 정책, 프로세스, SBOM 분석, 취약점 리포트, 교육 커리큘럼, 준수 선언문 초안까지
+단계별로 생성합니다. [기업 오픈소스 관리 가이드](../opensource_for_enterprise/)가 설명하는
+여섯 단계와 같은 순서를 따릅니다.
+
+## DevSecOps 파이프라인
+
+CI/CD 파이프라인에 보안 검사를 넣는 방법을 다룹니다. SAST, DAST, SCA, 시크릿 탐지,
+컨테이너 보안, IaC 보안을 단계별로 안내하고, 각 항목이 ISO/IEC 18974의 어느 조항과
+연결되는지 매핑합니다.
+
+## AI 코딩 거버넌스
+
+AI 코딩 도구를 쓰는 조직이 정해야 할 규칙을 다룹니다. 에이전트 권한 관리, AI 생성 코드의
+보안 검토, 라이선스와 법적 쟁점, ISO/IEC 42001 연계를 설명하고, Claude Code, GitHub Copilot,
+Cursor 등 도구별 규칙 파일 예시를 제공합니다.
+
+## TRUSCA
+
+자체 호스팅 오픈소스 SCA 포털입니다. 취약점(CVE), 라이선스 컴플라이언스, SBOM 관리를 하나의
+화면에서 다룹니다. [TRUSCA 도구 페이지](../tools/11-trusca/)에서 설치와 사용법을 안내합니다.