アジャイル開発のセキュリティ対策――OSSの脆弱性を回避するための基本戦略

　近年、アジャイルソフトウェア開発における構成要素としてオープンソースソフトウェア（OSS）を選ぶケースが増えている。開発者が新規にコードを作成する必要がなく、性能と機能を提供する上で有効な多数のコンポーネントを備えたOSSは、アジャイルプロジェクトの安定した基礎となり得るからだ。

　しかし、オープンソースの利用には一定のリスクも伴う。よくメンテナンスされたプロジェクトでは、自動ツールで発見できるような脆弱性が問題となることはないが、ほぼ毎日のように発見される脆弱性には、まれに重大なものも含まれるからだ。

　そのため、OSSを利用したアジャイル開発では、「既知の脆弱性がないオープンソースコンポーネントの選択」と「アプリケーションのライフサイクルを通じたコンポーネントの監視」が基本的なセキュリティ戦略となる。本コンテンツでは、これらの戦略を解説するとともに、OSSを安全に利用するためのツールの条件を明らかにする。