OSSRA 2017のダウンロードはこちらからhttps://www.blackducksoftware.com/open-source-security-risk-analysis-2017.
Black Duckは毎年、主に企業の合併吸収に関連する数百のオープンソースコードの監査を実施しています。オープンソースリサーチ&イノベーションセンター（COSRI）は、2016年に監査を行った1,071のアプリケーションを分析した結果、アプリの96%でオープンソースを利用し、また60%以上のアプリにオープンソースセキュリティ脆弱性を含んでいることを報告しています。
特に、金融業界のアプリケーション監査結果では、1アプリケーションあたり52のオープンソース脆弱性が見つかり、アプリケーションの60%にハイリスクな脆弱性が確認されました。小売業および電子商取引業界のアプリケーションは、最も高い割合でハイリスクなオープンソース脆弱性が含まれ、監査したアプリケーションの83%にハイリスクな脆弱性が見つかっています。
オープンソースライセンスにはライセンスへの抵触が広く確認されています。監査したアプリケーションには平均して147のオープンソースコンポーネント（ライセンス義務の状態を追跡調査するには困難に思えるほどの数です）が含まれ、監査したアプリケーションの実に85%にはライセンスに抵触しているコンポーネントが含まれていました。最も多く見られる問題はGPLライセンス違反に関するもので、75%のアプリケーションがGPLファミリのライセンスの影響下にあるコンポーネントを使用していましたが、GPLの義務を遵守していたアプリケーションはそのうち45％のみでした。
Black Duck、CEOのLou Shipleyは次のようにコメントしています。「オープンソース利用は世界中に広がっています。今日のアプリのコードの80～90%がオープンソースであることが最新の研究報告で明らかになっています。オープンソースには、開発コストを下げ、イノベーションを加速し、開発期間を短縮できるというメリット・価値があることを考えれば、この数字は当然といえるでしょう。当社の監査によって普遍的な利用が確認されると同時に、オープンソースのセキュリティ脆弱性およびライセンスコンプライアンスの問題に関連するリスクへの対策が期待するほど効果がないことも明らかになりました。アプリケーション層がハッカーの主な標的であることから、監査での発見がセキュリティ責任者にとって『気づき』となることを期待しています。オープンソース脆弱性のエクスプロイトは、多くの企業が抱えるアプリケーションの最大のセキュリティリスクです」
Black Duckで北アイルランドを拠点とするCOSRIセキュリティ研究部門、オープンソースセキュリティ研究グループ責任者、Chris Fearonは次のようにコメントしています。「この報告書の内容を、警鐘とすべきです。誰もが大量のオープンソースを利用していますが、この監査が明らかにしたように、適切にオープンソースコンポーネントおよびアプリケーションの脆弱性を検出、修正、監視している人は少ないのです。この監査でのCOSRI分析は、どの業界の組織も、オープンソースを効果的に管理するためには、先に長い道のりが待っていることを示しています」
報道機関からのお問い合わせ
Black Duck 広報担当［担当：神谷］
Tel：03-5269-1038
E-mail：blackduck@jspin.co.jp
特に、金融業界のアプリケーション監査結果では、1アプリケーションあたり52のオープンソース脆弱性が見つかり、アプリケーションの60%にハイリスクな脆弱性が確認されました。小売業および電子商取引業界のアプリケーションは、最も高い割合でハイリスクなオープンソース脆弱性が含まれ、監査したアプリケーションの83%にハイリスクな脆弱性が見つかっています。
オープンソースライセンスにはライセンスへの抵触が広く確認されています。監査したアプリケーションには平均して147のオープンソースコンポーネント（ライセンス義務の状態を追跡調査するには困難に思えるほどの数です）が含まれ、監査したアプリケーションの実に85%にはライセンスに抵触しているコンポーネントが含まれていました。最も多く見られる問題はGPLライセンス違反に関するもので、75%のアプリケーションがGPLファミリのライセンスの影響下にあるコンポーネントを使用していましたが、GPLの義務を遵守していたアプリケーションはそのうち45％のみでした。
Black Duck、CEOのLou Shipleyは次のようにコメントしています。「オープンソース利用は世界中に広がっています。今日のアプリのコードの80～90%がオープンソースであることが最新の研究報告で明らかになっています。オープンソースには、開発コストを下げ、イノベーションを加速し、開発期間を短縮できるというメリット・価値があることを考えれば、この数字は当然といえるでしょう。当社の監査によって普遍的な利用が確認されると同時に、オープンソースのセキュリティ脆弱性およびライセンスコンプライアンスの問題に関連するリスクへの対策が期待するほど効果がないことも明らかになりました。アプリケーション層がハッカーの主な標的であることから、監査での発見がセキュリティ責任者にとって『気づき』となることを期待しています。オープンソース脆弱性のエクスプロイトは、多くの企業が抱えるアプリケーションの最大のセキュリティリスクです」
Black Duckで北アイルランドを拠点とするCOSRIセキュリティ研究部門、オープンソースセキュリティ研究グループ責任者、Chris Fearonは次のようにコメントしています。「この報告書の内容を、警鐘とすべきです。誰もが大量のオープンソースを利用していますが、この監査が明らかにしたように、適切にオープンソースコンポーネントおよびアプリケーションの脆弱性を検出、修正、監視している人は少ないのです。この監査でのCOSRI分析は、どの業界の組織も、オープンソースを効果的に管理するためには、先に長い道のりが待っていることを示しています」
報道機関からのお問い合わせ
Black Duck 広報担当［担当：神谷］
Tel：03-5269-1038
E-mail：blackduck@jspin.co.jp
