OSSのサプライチェーン管理、取るべきアクションとは

SBOMは、日本でも一部の企業では既に取り組みが進んでいる。では、一般的な普及に向けてはどのような課題があるのか。自動車業界、半導体／組み込み業界、システムインテグレーターと、異なる立場の関係者が話し合った。

「SBOM」が大きな注目を浴びている。そもそもSBOMとは何なのだろうか。なぜ米国は大統領令でこれを取り上げたのか。日本企業は対応する必要があるのか。どう対応すればいいか。ここでは、OSSのサプライチェーン管理に関する連載の3回目として、SBOMを解説する。

OSPOで社内のOSS関連活動を推進したい。だが、どう進めればいいのか。OSPO導入企業であるソニーグループ、富士通、メルカリ3社の担当者による座談会の模様をお届けする。

OSSのサプライチェーン管理が重要になってきている。本連載では、この文脈から「オープンソースプログラムオフィス（OSPO）」「SBOM」の2つのキーワードに迫る。今回は、OSPOとは何かを解説し、次回はOSPOを設置した日本企業の座談会をお届けする。

GoogleがSBOMの活用事例を公開した。オープンソースツールを使って、「Kubernetes」のSBOMを「Open Source Vulnerabilities」データベースと照合し、Kubernetesの構成要素に含まれる脆弱性を特定したプロセスを紹介した。

サイバートラストが、オープンソースプログラムオフィス（OSPO）を社内に設立したと発表した。電子認証、IoT、Linuxを事業の3本柱とする同社はOSPOについて、これまで自発的に行われてきたOSS活動を、組織として正式に支援する狙いがあるとしている。

The Linux Foundationはソフトウェアの再利用に関する課題について調査したレポート「The State of Software Bill of Materials（SBOM） and Cybersecurity Readiness」（ソフトウェア部品表《SBOM》とサイバーセキュリティへの対応状況）を発表した。SBOMは最近のアプリケーションのおよそ90％がオープンソースソフトウェアを利用しているという状況に沿った解決策だ。

「OSSなんて、うちの会社に関係ない」「無料なんだから、使い倒せばいいだけでしょ？」。まだ、こうした考えを持っている企業も多い。だが、ソフトウェアをビジネスの武器にしようとしている企業は、OSSの利用を避けることはできない。利用を適切に管理しないと、思わぬ法的トラブルを引き起こす可能性がある。 この連載ではOSSコンプライアンスに関するお悩みポイントと解決策を具体的に紹介する。

Linux Foundationの日本支部、Linux Foundation Japanが、「企業のためのオープンソースガイド」をWebで公開した。日本でも、テクノロジー企業、一般企業を問わず、OSSの利用を組織として管理し、戦略的に考える必要性が生まれているという。

企業がOSSを上手に活用する上で知っておくべきオープンソースの理念やライセンスをおさらいしていく本連載。初回はオープンソースの理念やOSSのメリット、デメリットについて。