Giấy phép phần mềm: Hướng dẫn tuân thủ cho doanh nghiệp

Nếu bỏ qua các điều kiện này, bạn có thể gặp hóa đơn truy thu lớn, buộc phải thay đổi kiến trúc sản phẩm, hoặc tệ hơn là phải công khai mã nguồn vốn được xem là tài sản cạnh tranh. Hiểu đúng giấy phép phần mềm giúp bạn kiểm soát chi phí, bảo vệ tài sản trí tuệ và xây dựng sản phẩm an toàn hơn.

Giấy phép phần mềm thực sự kiểm soát điều gì?

Về bản chất, giấy phép phần mềm là một hợp đồng pháp lý quy định bạn được phép làm gì với phần mềm. Nó có thể quyết định quyền sử dụng, sao chép, sửa đổi, phân phối, cấp lại quyền sử dụng hoặc tích hợp phần mềm vào sản phẩm thương mại.

Văn bản phổ biến nhất là thỏa thuận cấp phép người dùng cuối, thường được gọi là EULA. Đây là phần mà nhiều người bấm đồng ý ngay khi cài đặt phần mềm, nhưng nó lại có thể chứa các giới hạn quan trọng về số lượng người dùng, thiết bị, khu vực sử dụng, quyền truy cập dữ liệu và trách nhiệm khi vi phạm.

Hai nhóm lớn nhất cần phân biệt là phần mềm độc quyền và phần mềm mã nguồn mở.

Tiêu chí	Phần mềm độc quyền	Phần mềm mã nguồn mở
Mã nguồn	Thường không được công khai	Được cung cấp để kiểm tra, học hỏi và sửa đổi theo điều kiện giấy phép
Quyền kiểm soát	Nhà cung cấp giữ quyền kiểm soát cao	Cộng đồng và người dùng có nhiều quyền tự chủ hơn
Hỗ trợ	Thường có hỗ trợ chính thức từ nhà cung cấp	Có thể dựa vào cộng đồng hoặc đơn vị cung cấp dịch vụ riêng
Điều kiện sử dụng	Thường chặt chẽ hơn, có giới hạn về người dùng hoặc thiết bị	Phụ thuộc từng giấy phép, từ rất linh hoạt đến yêu cầu mở mã nguồn

Mã nguồn mở không đồng nghĩa với không có bản quyền. Bản quyền vẫn tự động phát sinh khi tác giả tạo ra mã nguồn. Giấy phép chỉ là cách tác giả cho người khác quyền sử dụng phần mã nguồn có bản quyền đó.

Sự chuyển dịch từ mua vĩnh viễn sang thuê bao

Nhiều phần mềm thương mại đã chuyển từ mô hình mua một lần sang mô hình thuê bao định kỳ. Adobe Creative Cloud, Microsoft Office 365 và Autodesk là các ví dụ tiêu biểu cho thay đổi này.

Với doanh nghiệp, thuê bao biến khoản đầu tư phần mềm lớn ban đầu thành chi phí vận hành dự báo được theo tháng hoặc năm. Mô hình này cũng đi cùng cập nhật liên tục, khả năng tăng giảm quy mô linh hoạt và sự thuận tiện của hạ tầng đám mây.

Nhưng bạn cũng cần nhìn vào mặt còn lại. Chi phí dài hạn có thể tăng, quyền sử dụng phụ thuộc vào việc duy trì thanh toán và doanh nghiệp không còn sở hữu một phiên bản phần mềm vĩnh viễn theo cách truyền thống.

Ngoài thuê bao, hai mô hình thương mại thường gặp là:

• Giấy phép nhiều người dùng: doanh nghiệp mua số lượng lớn quyền sử dụng để giảm chi phí trên mỗi người dùng.
• Giấy phép đồng thời: doanh nghiệp mua số quyền bằng số người dùng tối đa truy cập cùng lúc, thay vì cấp quyền cho tất cả người có thể cần dùng phần mềm.

Giấy phép đồng thời có thể tối ưu ngân sách, nhưng cũng tạo ra rủi ro tắc nghẽn. Nếu nhiều nhân sự đăng nhập cùng thời điểm vượt mức cho phép, một số người sẽ không thể sử dụng công cụ khi cần.

Kiểm toán phần mềm: rủi ro không chỉ nằm ở số lượng cài đặt

Kiểm toán giấy phép phần mềm có thể là phần đáng lo nhất trong quản trị công nghệ. Nhà cung cấp sẽ đối chiếu phần mềm doanh nghiệp đang triển khai với số quyền sử dụng doanh nghiệp thực sự sở hữu. Trạng thái này thường được gọi là vị thế giấy phép doanh nghiệp.

Vấn đề là kết quả kiểm toán có thể bị đẩy lên rất cao khi dữ liệu không đầy đủ hoặc bị diễn giải theo hướng bất lợi. Một hệ thống thử nghiệm có thể bị tính như hệ thống vận hành chính thức. Một cơ sở dữ liệu không rõ phiên bản có thể bị giả định là phiên bản doanh nghiệp đắt tiền.

Một số cuộc kiểm toán còn sử dụng đơn vị bên thứ ba, nơi động lực kinh doanh có thể nghiêng về việc tìm ra nhiều sai phạm hơn. Vì vậy, doanh nghiệp không nên giao toàn quyền kiểm soát dữ liệu cho bên kiểm toán.

Cách chuẩn bị trước khi bị kiểm toán

1. Lưu giữ toàn bộ hợp đồng và thỏa thuận cũ. Quyền sử dụng lịch sử đôi khi có thể thay đổi hoàn toàn kết quả kiểm toán. Một điều khoản cũ về cách tính giấy phép có thể bảo vệ doanh nghiệp trước một cách diễn giải mới bất lợi hơn.
2. Quản lý giấy phép tập trung. Bạn cần biết phần mềm nào đang được triển khai, ai đang dùng, môi trường nào là phát triển, thử nghiệm hoặc vận hành, và phần mềm nào đã không còn cần thiết.
3. Thiết lập chính sách dùng thiết bị và ứng dụng cá nhân. Chính sách cần bao phủ thiết bị cá nhân, ứng dụng cá nhân, phần mềm dịch vụ, giấy phép theo mã thông báo và phần mềm nhúng trong hệ thống khác.
4. Yêu cầu mọi cam kết từ nhà cung cấp phải có văn bản. Thỏa thuận miệng rất khó có giá trị khi kiểm toán. Điều khoản, ngoại lệ và quyền sử dụng đặc biệt cần được ghi nhận rõ ràng.
5. Chủ động sở hữu dữ liệu kiểm kê. Đừng chạy ngay công cụ hoặc tập lệnh do bên kiểm toán yêu cầu mà không hiểu dữ liệu nó thu thập. Báo cáo nội bộ đáng tin cậy giúp bạn kiểm soát cách câu chuyện được trình bày.

Công cụ quản lý giấy phép có thể hỗ trợ rất nhiều, nhưng công cụ của chính nhà cung cấp thường phản ánh góc nhìn chi phí của họ. Một giải pháp độc lập có thể cho bạn cái nhìn khách quan hơn về mức sử dụng, quyền sở hữu và cơ hội tối ưu.

Bảo vệ tài sản trí tuệ phần mềm

Tài sản trí tuệ phần mềm không chỉ là những dòng mã. Nó còn có thể là thuật toán, giao diện, quy trình, tên thương hiệu, biểu tượng và bí quyết kỹ thuật tạo ra lợi thế cạnh tranh.

Hình thức bảo vệ	Bảo vệ điều gì?	Ví dụ trong phần mềm
Bằng sáng chế	Ý tưởng hoặc phương pháp kỹ thuật mới	Thuật toán hoặc công nghệ mới có điều kiện đăng ký
Bản quyền	Cách thể hiện cụ thể của ý tưởng	Mã nguồn, giao diện, nội dung sáng tạo
Bí mật kinh doanh	Thông tin có giá trị được giữ bí mật	Quy trình, công thức hoặc kỹ thuật nội bộ
Nhãn hiệu	Tên, biểu tượng và nhận diện thương hiệu	Tên sản phẩm, logo, dấu hiệu nhận diện

Bản quyền mã nguồn thường phát sinh tự động khi mã được tạo ra. Tuy nhiên, bảo vệ pháp lý thôi chưa đủ. Doanh nghiệp có thể cần mã hóa, làm rối mã, đóng gói mã, ký số giấy phép, nhận diện bản sao và cơ chế tự kiểm tra tính toàn vẹn của phần mềm.

Các biện pháp này giúp tăng độ khó cho việc sao chép hoặc đảo ngược kỹ thuật. Nhưng chúng cũng cần được kiểm thử bằng cách mô phỏng các tình huống tấn công, thay vì chỉ giả định rằng cơ chế bảo vệ đã hoạt động.

DRM và bài toán cân bằng giữa bảo vệ và quyền tự do

Quản lý quyền kỹ thuật số, thường gọi là DRM, được thiết kế để ngăn chặn việc sử dụng hoặc phân phối trái phép. Đối với nhà sáng tạo và nhà cung cấp phần mềm, đây là một công cụ để bảo vệ doanh thu, quyền tác giả và động lực đầu tư.

Ngược lại, DRM có thể gây tranh cãi khi hạn chế việc sử dụng hợp pháp, cản trở khả năng sửa đổi hoặc tạo ra quan ngại về theo dõi hành vi người dùng. Các phương án như đánh dấu bản quyền hoặc DRM xã hội cố gắng giảm kiểm soát kỹ thuật quá chặt, trong khi vẫn tạo khả năng truy vết khi có vi phạm.

Không có câu trả lời đơn giản cho mọi sản phẩm. Điều quan trọng là doanh nghiệp phải cân nhắc giữa mức độ bảo vệ cần thiết, trải nghiệm của khách hàng và quyền sử dụng chính đáng.

Phân biệt giấy phép mã nguồn mở trước khi dùng

Phần mềm mã nguồn mở được xây dựng trên các quyền tự do: chạy phần mềm, nghiên cứu mã nguồn, chia sẻ, sửa đổi và chia sẻ các cải tiến. Đây là quyền tự do sử dụng, không phải lời khẳng định rằng phần mềm luôn miễn phí.

Các tổ chức như Open Source Initiative tập trung vào lợi ích thực tiễn của cộng tác mở, trong khi Free Software Foundation nhấn mạnh khía cạnh đạo đức và quyền tự do của người dùng. Dù có khác biệt về triết lý, hai hướng tiếp cận này có nhiều điểm gặp nhau về các quyền cốt lõi.

Giấy phép linh hoạt

Nhóm giấy phép linh hoạt cho phép sử dụng, sao chép, sửa đổi, phân phối, cấp lại quyền và thậm chí bán phần mềm, miễn là bạn giữ lại thông báo bản quyền và văn bản giấy phép.

• MIT: ngắn gọn, dễ hiểu và rất phổ biến. Nghĩa vụ chính là giữ thông báo bản quyền và giấy phép.
• Apache 2.0: cũng linh hoạt, nhưng chi tiết hơn. Giấy phép này có điều khoản cấp quyền sáng chế rõ ràng và cơ chế chấm dứt quyền sáng chế nếu xảy ra kiện tụng liên quan.
• BSD hai điều khoản và ba điều khoản: ít hạn chế. Bản ba điều khoản bổ sung yêu cầu không dùng tên tác giả hoặc tổ chức để xác nhận sản phẩm phái sinh.

Các giấy phép này phù hợp khi doanh nghiệp cần linh hoạt trong việc kết hợp thành phần bên ngoài vào sản phẩm thương mại. Dù vậy, nghĩa vụ ghi nhận tác giả vẫn phải được thực hiện đầy đủ.

Giấy phép đối ứng mạnh và đối ứng yếu

Giấy phép đối ứng sử dụng chính luật bản quyền để yêu cầu các tác phẩm phái sinh tiếp tục giữ tính mở. Đây là điểm tạo ra khác biệt lớn với giấy phép linh hoạt.

• GPL: là đối ứng mạnh. Khi mã GPL được kết hợp theo cách tạo thành một tác phẩm phái sinh, sản phẩm kết quả thường phải được cấp phép theo GPL. Điều này có thể không phù hợp với phần mềm độc quyền.
• LGPL: được thiết kế cho thư viện. Ứng dụng độc quyền có thể liên kết với thư viện LGPL chưa sửa đổi, nhưng nếu bạn sửa thư viện đó, phần sửa đổi phải được chia sẻ theo LGPL.
• MPL 2.0: đối ứng theo cấp độ tệp. Tệp được sửa đổi theo MPL vẫn phải giữ MPL, nhưng các tệp mới tách biệt có thể dùng giấy phép khác, kể cả giấy phép độc quyền.
• CDDL: cũng áp dụng đối ứng theo tệp, nhưng thường không tương thích với GPL. Đây là vấn đề quan trọng nếu bạn dự định kết hợp mã từ hai hệ sinh thái này.

Cảnh giác với giấy phép cho xem mã nguồn

Một sai lầm phổ biến là cho rằng phần mềm có mã nguồn công khai thì là mã nguồn mở. Không phải vậy. Giấy phép cho xem mã nguồn cho phép bạn xem mã, nhưng vẫn có thể cấm một số hoạt động thương mại quan trọng.

Các giấy phép như Confluent Community License, Server Side Public License và Business Source License có thể hạn chế việc cung cấp dịch vụ cạnh tranh dựa trên phần mềm đó. Business Source License có thể chuyển sang giấy phép mở sau một thời hạn, nhưng các giới hạn trong giai đoạn đầu vẫn có tác động thực tế lớn.

Nếu doanh nghiệp xây dựng sản phẩm dịch vụ, đặc biệt là phần mềm cung cấp qua mạng, nhóm giấy phép này cần được xem xét kỹ hơn cả GPL. Đừng đánh giá giấy phép chỉ dựa trên việc bạn có thể tải hoặc đọc mã nguồn.

Quy trình tuân thủ giấy phép cho đội ngũ phát triển

Khi một dự án có hàng chục hoặc hàng trăm gói phụ thuộc, kiểm tra thủ công sẽ nhanh chóng trở nên không khả thi. Tuân thủ cần trở thành một phần trong quy trình phát triển, thay vì là việc xử lý vội vã ngay trước khi phát hành.

Nhận diện giấy phép của mọi thành phần

Bạn có thể bắt đầu bằng cách kiểm tra tệp giấy phép, tệp hướng dẫn, tệp bản quyền và phần chú thích trong mã nguồn. Các tệp quản lý gói như package.json, pom.xml hoặc pyproject.toml thường cũng cung cấp thông tin giấy phép theo định danh SPDX.

Với dự án hiện đại có nhiều phụ thuộc trực tiếp và gián tiếp, công cụ phân tích thành phần phần mềm là cần thiết. Các công cụ như Snyk, Black Duck và FOSSA có thể quét phụ thuộc, nhận diện giấy phép, so sánh với chính sách nội bộ, tạo báo cáo thành phần và hỗ trợ tích hợp vào quy trình phát triển liên tục.

Thiết lập cây quyết định đơn giản

• Không tìm thấy giấy phép: không sử dụng. Mã vẫn có bản quyền và bạn chưa có quyền hợp pháp để khai thác.
• Giấy phép linh hoạt: thường có thể sử dụng, nhưng phải tuân thủ yêu cầu ghi nhận tác giả.
• GPL hoặc đối ứng mạnh: xem đây là cảnh báo cấp cao đối với sản phẩm độc quyền và yêu cầu phê duyệt rõ ràng.
• LGPL hoặc MPL: cần xem xét kỹ cách bạn liên kết, sửa đổi và phân phối thành phần đó.
• Giấy phép cho xem mã nguồn: cần phê duyệt rõ ràng vì có thể giới hạn mô hình kinh doanh của bạn.

Ghi nhận tác giả đúng cách

Ghi nhận tác giả là nghĩa vụ gần như phổ quát trong mã nguồn mở. Cách làm phổ biến là tạo tệp thông báo thành phần bên thứ ba hoặc mục thông tin pháp lý trong sản phẩm.

Tệp này nên nêu rõ tên thành phần, chủ sở hữu bản quyền, nguồn, tên giấy phép và toàn văn giấy phép khi được yêu cầu. Mô hình đơn giản để tổ chức thông tin là: tên thành phần, tác giả, nguồn và giấy phép.

Vì sao thay đổi giấy phép là việc khó?

Đổi giấy phép cho một dự án đã có nhiều người đóng góp thường không đơn giản. Mỗi người đóng góp vẫn có bản quyền đối với phần mã do họ tạo ra, vì vậy bạn thường cần sự đồng ý của tất cả những người liên quan.

Thỏa thuận cấp phép đóng góp hoặc thỏa thuận chuyển giao đóng góp có thể giúp chủ dự án có quyền đổi giấy phép trong tương lai. Tuy nhiên, yêu cầu này cũng có thể khiến một số lập trình viên ngần ngại đóng góp vì họ không muốn chuyển giao quá nhiều quyền.

Ngay từ đầu, hãy đặt thông báo bản quyền và thông tin giấy phép rõ ràng trong từng tệp mã nguồn quan trọng, đồng thời duy trì một tệp giấy phép chính trong kho mã. Sự rõ ràng từ đầu luôn rẻ hơn xử lý tranh chấp về sau.

FAQ

Phần mềm mã nguồn mở có được dùng miễn phí trong sản phẩm thương mại không?

Có thể, nhưng điều này phụ thuộc vào giấy phép cụ thể. MIT, Apache 2.0 và BSD thường linh hoạt hơn, còn GPL có thể yêu cầu sản phẩm phái sinh cũng phải công khai mã nguồn theo GPL.

Không có tệp giấy phép thì có thể sử dụng mã nguồn không?

Không nên. Việc mã được công khai không tự động trao cho bạn quyền sao chép, sửa đổi hoặc phân phối. Khi không có giấy phép, cách an toàn là xem mã đó có bản quyền đầy đủ và không sử dụng.

Doanh nghiệp nhỏ có cần công cụ quản lý giấy phép phần mềm không?

Nếu doanh nghiệp dùng nhiều phần mềm thuê bao, công cụ mã nguồn mở hoặc có sản phẩm tự phát triển, quản lý tập trung sẽ giảm đáng kể rủi ro. Quy mô nhỏ không loại trừ nguy cơ kiểm toán, vi phạm điều khoản hoặc sử dụng nhầm thành phần không tương thích.

Nếu bạn cần xây dựng website hoặc phần mềm có cấu trúc mã nguồn rõ ràng, kiểm soát tốt thành phần bên thứ ba và sẵn sàng cho tăng trưởng, dịch vụ thiết kế website và SEO của MintStack có thể là nền tảng phù hợp để bắt đầu.