FossID - OSSライセンス＆セキュリティ管理ツール
FossIDは、最新鋭のスキャニング エンジンと、膨大なオープンソース情報ナレッジベースに支えられた新しいOSSライセンス＆セキュリティ管理ツールです。さまざまなプログラミング言語のファイルに対し、独自のコード検索アルゴリズムで高速にスキャンを行い、コードの派生元であるオープンソースを特定します。また、NIST(アメリカ国立標準技術研究所)で公開されるCVE(Common Vulnerabilities and Exposures：共通脆弱性識別子)情報に基づくOSSの脆弱性情報も表示し、OSSのセキュリティ対策が行えます。
部分的にコピーペーストしたOSSの情報が確認できるコードスニペット検出にも対応しているため、より正確で広範囲な情報を可視化します。また、正確なSBOM(Software Bill of Materials：ソフトウェア部品表)を作成し、SPDX/SPDX Lite、CycloneDX、Excelレポートなど用途に合わせたレポートを出力できます。
生成AIによる「コードベースの汚染」のセキュリティリスク
生成AIコーディングアシスタントは、開発生産性を飛躍的に高める一方で、その学習データには膨大な量のオープンソースコードが含まれています。AIが生成するコードの中には、OSSのコードスニペットがそのまま紛れ込みことがあり、開発者が気づかないまま自社のコードベースに取り込まれ、コピー＆ペースなどによって全体へと広がっていく「コードベースの汚染」のリスクがあります。OSS由来のライセンス違反や脆弱性が含まれている場合、時間がたつほど対処が難しくなるため、こうしたリスクはできるだけ早く気付くことが重要です。
FossIDは、AI生成コードの中にオープンソースコードが紛れ込んでいないかをスニペットレベルで検出し、開発チームが生成AIのメリットを安心して享受できる環境を提供します。
信頼できるSBOMを生成する
ソフトウェアサプライチェーンの複雑化とEUのCRAや米国の連邦調達規則をはじめとする法規制の強化に伴い、SBOM（ソフトウェア部品表：Software Bill of Materials）の生成・管理はもはや任意ではなく必須の取り組みとなっています。SBOMを管理することで、脆弱性の分析やライセンス情報を入手することができるため、リスクを可視化することができます。新たに発見された脆弱性の潜在的なリスクを迅速かつ容易に判断することができます。
FossIDは、ソースコードから、管理対象コード（パッケージマネージャ）と非管理対象コードの両方において、オープンソース、サードパーティ、商用、および独自仕様のコンポーネントを識別（商用および独自仕様は事前の情報登録が必要）し、正確なSBOMを生成します。さらに、サプライヤーから受領したSBOMの検証・統合から、脆弱性やライセンスリスクの継続的な管理まで、SBOMのライフサイクル全体を一元的に運用できます。
これにより、高まる法令対応の負担を軽減しつつ、監査対応の効率化とセキュリティリスクの早期発見を実現し、ソフトウェアサプライチェーンの透明性と信頼性を強化します。
シフトレフトテスト：スキャンとゲートをCI/CDパイプラインに統合
脆弱性やライセンス違反、ポリシー逸脱を、開発の後工程やリリース直前に発見すると、手戻りが発生し、修正コストが大幅に増大します。
そこで、オープンソースリスクの検査をできるだけ早い段階に前倒しするため、FossIDを開発者のクライアントマシンからCI/CDパイプラインまで一貫して組み込み、作業中のコードを継続的にスキャンできるようにします。コードの変更が加わるたびに自動でスキャンを実行し、ポリシー違反が検出された場合はパイプラインをブロックすることで、問題のあるコードが本番環境へ到達する前に止めることができます。
問題を開発の最も早い段階で検出できるため、リリース直前や運用後に問題が発覚した場合と比べて手戻りが少なく、修正コストを大幅に削減できます。
なお、FossIDツールはソフトウェア開発ライフサイクル（SDLC）から切り離して単独で使用することもできますが、SDLCツールチェーンに組み込むことで、その効果を最大限に高めることができます。
海外でのFossID導入事例企業
