OSSを信頼すると同時に検証せよ

nagazou 曰く、

日本シノプシスは14日、研究機関「Cybersecurity Research Center（CyRC）」が、企業の合併・買収の際に棚卸しした1703のソフトウェアを対象に匿名化したデータを分析したオープンソース·セキュリティ＆リスク分析レポートに関する説明会を開催した（オープンソース·セキュリティ＆リスク分析レポート、ZDNET Japan、IT Leaders）。

この分析によると、リスク診断を実施した1480のコード中、既知の脆弱性を一つ以上含んでいた割合は84％あったという。これは昨年比で4％の上昇だったそうだ。また、4年以上前のコードを含む割合は89％（こちらは昨年比4％上昇）だった。また、CyRCが2022年中に調査した企業が使用するソフトウェア1703本中、OSS（オープンソースソフトウェア）を含む割合は96％におよび、全コードにOSSが占める割合は76％だった。脆弱性を含むOSSの割合は84％で、ライセンスの競合が見つかったOSSは54％など増加傾向にあるとされる。

日本シノプシスの吉井雅人氏は「OSSを信頼すると同時に検証せよ。OSSのセキュリティはビジネスリスクに直結する。自らの責任でセキュリティを確保すべきだ。SBOM（ソフトウェア部品表）によるコンポーネントの可視化」が重要だと述べていたとのこと。