Inc.、Nasdaq上場コード:SNPS)は本日、2019年オープンソース・セキュリティ&リスク分析(OSSRA)レポートを公表した。(CyRC)が分析し所見をまとめたものである。オープンソース・ソフトウェア利用にあたってのトレンドやパターンが明らかとなり、同時にセキュリティ・リスクやライセンス上の問題を抱えたオープンソース・コンポーネントが依然として蔓延している実態が判明した。報告書に示されている通り、過去にリスク管理上問題があると指摘されたオープンソース利用状況の多くは現在も継続している。一方で、調査データは注目すべき変化も示している。多くの企業/団体では、オープンソース・リスクの管理能力が強化されているという点である。市販されているソフトウェア・コンポジション解析ソリューションに対する認識と習熟度の高まりが背景にあると思われる。Mackeyは、次のように述べている。「近年のソフトウェアの開発と適用において、オープンソース・コンポーネントは極めて重要な役割を果たしています。その価値を真に活用するためには、そういったコンポーネントがセキュリティやライセンス・コンプライアンスの観点でどんな影響を及ぼすかを理解し対処できなければなりません。2019では、商用アプリケーションに組み込まれているオープンソースに対するリスク管理の現状がどうなっているかを概観できます。2019で明らかになったオープンソース・リスク・トレンドの中で注目すべきいくつかの点は、下記の通りである。オープンソースの活用は大幅に増加している今回(2018年)調査対象となったコードベースの96%には、オープンソース・コンポーネントが組み込まれており、昨年はコードベースあたりのオープンソース・コンポーネント数が平均257であったのに対し、今年は298となっている。ライセンス上の問題を持ったオープンソースが知的財産を危機に晒しているコードベースの68%には、何らかのライセンス問題を抱えたオープンソースが組み込まれており、38%にはライセンス関係が不明確なオープンソースが含まれている。“放置”状態のコンポーネントの利用が一般化しているコードベースの85%には、開発から4年以上が経過した時代遅れのオープンソース・コンポーネントや、過去2年間一切手が加えられていないコンポーネントが組み込まれている。陳腐化し誰もメンテナンスしなくなったコンポーネントが意味するものは、そこに潜んでいるかもしれない脆弱性に誰も対処しようとしていないということである。多くの企業団体では、使用中のオープンソース・コンポーネントにパッチやアップデートを施していない今回の調査で明らかになった脆弱性の継続年数の平均値は6.6年で、昨年の調査から大幅に伸びている。これは、脆弱性対策のための努力が大幅には改善していないことを示している。コードベースの43%には、10年以上前に明らかになった脆弱性がそのまま残っていた。Databaseに新たに登録されていることを考え合わせると、情報漏洩の増加に対処するためにはパッチ・プロセスを加速しなければならないことは明らかである。脆弱性のレベルにはばらつきがあるが、企業/団体の多くは最もハイリスクな脆弱性にすら対処していない今回の報告書から明らかになったのは、オープンソース・ソフトウェアの利用自体に問題があるわけではなく、それどころかオープンソースはソフトウェア・イノベーションにとっては欠かせないコンポーネントであるという点である。その一方で、それらの活用によってもたらされるセキュリティ上ならびにライセンス上のリスクを特定し対処する努力を積極的に行わない場合は、企業/団体にとって非常に大きなダメージになり得るという点である。Equifax社の大規模データ漏洩事件以降、オープンソースが持つリスクに対する認識と市販のソフトウェア・コンポジション解析ソリューションの活用習熟度は高まっており、大きな改善につながっていることも今回の報告書から読み取ることができる。オープンソースのセキュリティ脆弱性に対する企業/団体の対応能力は向上しているコードベースの60%は少なくとも1つ以上の脆弱性を抱え込んでおり、これは依然として大きな割合ではあるものの、昨年の調査結果の78%からは大きく改善している。2019の詳細は、下記より入手可能。https://www.synopsys.com/ja-jp/software-integrity/resources/reports/2019-open-source-security-risk-analysis.html?cmp=pr-sigシノプシス・ソフトウェア・インテグリティ・プラットフォームについてシノプシスは、ソフトウェア・インテグリティ・プラットフォームを通じて、ソフトウェアのクオリティとセキュリティを向上させ、それらに関するリスクを開発期間の長期化や開発効率の低下を引き起こすことなく最小化するための最先端のソリューションを提供している。シノプシスはアプリケーション・セキュリティ・テストのリーディング・カンパニーとして高い評価を受けており、スタティック解析、ソフトウェア・コンポジション解析、ダイナミック解析のソリューションを提供している。これにより、ソフトウェア開発企業/団体が独自開発しているコード、用いているオープンソース・ソフトウェア、アプリケーション動作の中に潜む脆弱性や欠陥を短時間で特定/修正することが可能となる。業界をリードするツールならびにサービス、専門技術の組み合わせにより、ソフトウェア開発企業/団体がDevSecOps(開発とセキュリティ確保と運用の連携)プロセスやソフトウェア開発ライフサイクルを通じて最大限のセキュリティとクオリティを達成できるよう支援している企業はシノプシスのみである。詳細な情報は、https://www.synopsys.com/ja-jp/software-integrity.htmlより入手可能。Software)をカバーするソリューションを提供している。電子設計自動化(EDA)ソリューションならびに半導体設計資産(IP)のグローバル・リーディング・カンパニーとして長年にわたる実績を持ち、ソフトウェア品質/セキュリティ・ソリューションの分野でも業界をリードしており、世界第15位のソフトウェア・カンパニーとなっている。シノプシスは、最先端の半導体を開発しているSoC(system-on-chip)設計者、最高レベルの品質とセキュリティが要求されるアプリケーション・ソフトウェアの開発者に、高品質で信頼性の高い革新的製品の開発に欠かせないソリューションを提供している。詳細情報は、https://www.synopsys.com/ja-jpより入手可能。Inc.の登録商標または商標です。その他の商標や登録商標は、それぞれの所有者の知的財産です。ReservedFollow。