OSSライセンス＆セキュリティ管理ツールFossID

OSSライセンス＆セキュリティ管理ツール「FossID」

FossIDは、最新鋭のスキャニングエンジンと、膨大なオープンソース情報ナレッジベースに支えられた新しいOSSライセンス＆セキュリティ管理ツールです。さまざまなプログラミング言語のファイルに対し、独自のコード検索アルゴリズムで高速にスキャンを行い、コードの派生元であるオープンソースを特定します。また、NIST(アメリカ国立標準技術研究所)で公開されるCVE(Common Vulnerabilities and Exposures：共通脆弱性識別子)情報に基づくOSSの脆弱性情報も表示し、OSSのセキュリティ対策が行えます。

部分的にコピーペーストしたOSSの情報が確認できるコードスニペット検出にも対応しているため、より正確で広範囲な情報を可視化します。また、正確なSBOM(Software Bill of Materials：ソフトウェア部品表)を作成し、SPDX/SPDX Lite、CycloneDX、Excelレポートなど用途に合わせたレポートを出力できます。

いま注目されているSBOMとは？SBOMの活用効果とは

SBOMとはソフトウェア部品表(Software Bill of Materials：SBOM)を指しています。SBOMは、「ソフトウェアを構成するコンポーネントに関する詳細とサプライチェーン関係を記載した記録」になります。SBOMを活用することで、脆弱性の分析やライセンス情報を入手することができるため、リスクを可視化することができます。また、新たに発見された脆弱性の潜在的なリスクにさらされているかどうかを迅速かつ容易に判断するために活用することもできます。

SPDX、CycloneDXなどいくつかのフォーマットが存在し、これら共通フォーマットの利用により、継続的な管理、サプライチェーン全体を含めた把握、管理が実現できます。ソフトウェアサプライチェーンのリスク管理において重要であるとされ、注目を集めています。

FossIDのレポート機能では、SBOMの国際フォーマットであるSPDX, CycloneDXの作成をサポートしています。他にもSPDX Lite, Excelレポートなど用途に合わせたレポートを出力することができます。また、SPDX, CycloneDXをインポートすることも可能です。SBOM作成に、FossIDが有効です。

OSSライセンスコンプライアンスが重要な理由

オープンソースソフトウェア(OSS)は、誰でも自由にソースコードを無償で入手し、使用・改変・再配布ができるため、OSSをうまく利用することで、開発のスピードアップやコスト削減・開発の柔軟性など、さまざまなメリットが得られます。しかし、OSSの利用には約束(ライセンス)があります。OSSのライセンスを把握せずに、配布をしてしまったため、気が付いた時には著作権侵害をしていたという問題が突如発生するかもしれません。また、開発を外部に委託しており、そもそもOSSを利用していることを把握できていないケースもあります。製品開発サプライチェーンで関係するすべての企業がOSSのライセンス情報を提供することが必要です。

OSSは正しく活用すれば、製品開発において大きな競争力を得ることができます。一方でライセンス違反のリスク、脆弱性のリスクも存在します。OSSの適切な利用には、ライセンスの遵守、脆弱性への迅速な対応が重要です。そこで、FossIDをおすすめします。

FossIDをすぐに使える環境を構築します!CI環境構築サービス

FossIDを導入したらすぐにでも使いたい！しかし業務が忙しく環境を構築している暇がない、自動でスキャンが行えるように実行を自動化したいが構築のノウハウがない、調査する時間がないということはないでしょうか？テクマトリックスでは導入後すぐにご利用いただけるように環境構築サービスをご提供します。FossIDの環境セットアップはもちろん、自動で解析を行うためのCI環境の構築も可能です。

SBOMとは？

企業向けSBOMガイドを提供しています。