ソフトウェア開発担当者必見、オープンソースのセキュリティ管理を強化する方法

　ソフトウェア開発の現場では、オープンソースの利用が一般的だ。オープンソース利用のメリットは、開発コストの削減や、開発スピードの向上などが挙げられる。一方で、ライセンス違反による第三者の権利侵害や、セキュリティ上の脆弱性が含まれる可能性などのリスクがある。

　2014年12月には「Cyber Supply Chain Management and Transparency Act of 2014（2014年サイバーサプライチェーンマネジメントおよび透明性に関する法律）」（下院5793法案 H.R.5793）が米下院に提出された。ソフトウェア開発者に対し、開発で使用するオープンソースのコンポーネント一覧をリストで提出するよう求めるもので、オープンソースを使用する上でのセキュリティ上の脆弱性リスクの低減は、日本においても喫緊の課題となりつつある。

　本資料は、ソフトウェアの開発サイクル全体で、オープンソースコードの管理と可視化、脆弱性対応を自動管理する製品を解説する。OpenSSLの脆弱性であるHeartbleedや、UNIX Bashの脆弱性であるShellshockなどが明らかになる中、オープンソースソフトウェアのセキュリティ管理は避けて通れない問題だ。ソフトウェア開発者や管理者は、ぜひ資料を参考にしてほしい。