脆弱性の放置で1億人以上の情報流出も――オープンソースを可視化すべき理由

　2017年に米国の大手信用情報会社から、大規模なデータ流出が起こった。流出した個人情報は、実に1億4800万人以上。その原因となったのが、オープンソースフレームワークの脆弱性だ。オープンソースの採用が一般化した今、そのセキュリティやリスク分析は採用組織の責務といえる。

　オープンソース自体の安全性は商用ソフトウェアと見劣りするものではないが、商用ソフトウェアと違い、公開情報を追跡して対応しなければならないため、採用したオープンソースの把握・管理が欠かせない。一方で、企業アプリケーションのオンデマンド監査を行うセキュリティベンダーによれば、コードベースの78％で1件以上の脆弱性が確認され、その平均は64件に及んだ。

　こうした多数の脆弱性を効果的に検出するのが、ソフトウェア組成解析（SCA）ツールだ。本資料では、2017年の企業調査から判明したオープンソースのセキュリティ上の問題点、ハイリスクの脆弱性などを明らかにするとともに、SCAなど企業組織が取るべき対策を解説する。