FossID - OSSライセンス＆セキュリティ管理ツール

FossIDは、最新鋭のスキャニング エンジンと、膨大なオープンソース情報ナレッジベースに支えられた新しいOSSライセンス＆セキュリティ管理ツールです。さまざまなプログラミング言語のファイルに対し、独自のコード検索アルゴリズムで高速にスキャンを行い、コードの派生元であるオープンソースを特定します。また、NIST(アメリカ国立標準技術研究所)で公開されるCVE(Common Vulnerabilities and Exposures：共通脆弱性識別子)情報に基づくOSSの脆弱性情報も表示し、OSSのセキュリティ対策が行えます。

部分的にコピーペーストしたOSSの情報が確認できるコードスニペット検出にも対応しているため、より正確で広範囲な情報を可視化します。また、正確なSBOM(Software Bill of Materials：ソフトウェア部品表)を作成し、SPDX/SPDX Lite、CycloneDX、Excelレポートなど用途に合わせたレポートを出力できます。

コードスニペットレベルで検出！OSS脆弱性・SBOM管理「FossID」

SBOMとは？SBOMの活用効果とは？

SBOMとは、ソフトウェア部品表(Software Bill of Materials：SBOM)を指しています。SBOMは、「ソフトウェアを構成するコンポーネントに関する詳細とサプライチェーン関係を記載した記録」になります。SBOMを活用することで、脆弱性の分析やライセンス情報を入手することができるため、リスクを可視化することができます。また、新たに発見された脆弱性の潜在的なリスクにさらされているかどうかを迅速かつ容易に判断するために活用することもできます。

SPDX、CycloneDXなどいくつかのフォーマットが存在し、これら共通フォーマットの利用により、継続的な管理、サプライチェーン全体を含めた把握、管理が実現できます。ソフトウェアサプライチェーンのリスク管理において重要であるとされ、注目を集めています。

FossIDのレポート機能では、SBOMの国際フォーマットであるSPDX, CycloneDXの作成をサポートしています。他にもSPDX Lite, Excelレポートなど用途に合わせたレポートを出力することができます。また、SPDX, CycloneDXをインポートすることも可能です。SBOM作成に、FossIDが有効です。

SBOM管理：FossID

生成AIによるソフトウェア開発の懸念とは？

生成AIは、ソフトウェア開発を劇的に効率化してくれる可能性を秘めていますが、OSSを学習のひな型として使うケースは多いため、学習元のひな型のOSSライセンスについては注意を払う必要があります。

FossIDは、生成AIコーディングアシスタントにおけるリスクを低減できます。それにより、コーディングの時間と手間を削減、問題解決とコラボレーションに注力できるようになります。詳しくは動画をご確認ください。

 

OSSライセンスコンプライアンスが重要な理由

オープンソースソフトウェア(OSS)は、誰でも自由にソースコードを無償で入手し、使用・改変・再配布ができるため、OSSをうまく利用することで、開発のスピードアップやコスト削減・開発の柔軟性など、さまざまなメリットが得られます。しかし、OSSの利用には約束(ライセンス)があります。OSSのライセンスを把握せずに、配布をしてしまったため、気が付いた時には著作権侵害をしていたという問題が突如発生するかもしれません。また、開発を外部に委託しており、そもそもOSSを利用していることを把握できていないケースもあります。製品開発サプライチェーンで関係するすべての企業がOSSのライセンス情報を提供することが必要です。

OSSは正しく活用すれば、製品開発において大きな競争力を得ることができます。一方でライセンス違反のリスク、脆弱性のリスクも存在します。OSSの適切な利用には、ライセンスの遵守、脆弱性への迅速な対応が重要です。 そこで、FossIDをおすすめします。

スキャン

さまざまなプログラミング言語のファイルに対し、独自のコード検索アルゴリズムで高速にスキャンを行い、コードの派生元であるオープンソースを特定します。さらに、部分的にコピー&ペーストしたOSSの情報が確認できるコードスニペット検出にも対応しているため、より正確で広範囲な情報を可視化します。

セキュリティ

NIST(アメリカ国立標準技術研究所)で公開されるCVE(Common Vulnerabilities and Exposures：共通脆弱性識別子)情報に基づく、OSSの脆弱性情報を表示し、早期にOSSのセキュリティ対策が行えます。また、セキュリティ脆弱性の原因となるコードスニペットを検出するオプション(VulnSnippet Finder)があります。

コンプライアンス

OSS検出時にライセンスを自動検出し、OSS利用で必須となるライセンス規約遵守をサポートします。OSSは活用機会が多くコードの改変も頻発するため、企業はオープンソースコンポーネントを識別したり、コンプライアンスを遵守したりする労力がかかります。FossIDはコンプライアンスリスクや管理作業を低減させます。

FossIDの導入事例

FossID導入事例

既存の管理プロセスへスムーズに組み入れてOSS チェック作業の大幅な効率化に成功

FossID導入事例

高いコードスニペット検出率で 「FossID」をOSS管理の技術基盤に採用

FossID導入事例

ソフトウェア開発体制の強化に合わせてOSS の活用ルールを全社で標準化

海外でのFossID導入事例企業

資料／セミナー／サービスのご案内

テクマトリックスでは、OSSライセンス＆セキュリティ管理ツール「FossID」や、OSSライセンス・コンプライアンス、OSSガバナンス、マネジメントをサポートする各種サービスをご紹介します。

OSS活用Tips集

オープンソースソフトウェア活用Tips集

テクマトリックスでは、ソフトウェアにおけるOSSの位置づけを説明しながら、企業としてOSSと上手につきあうための注意点や、OSSを利用したソフトウェア開発活動の価値を根付かせるTIPS集をご用意しました。

オープンソースソフトウェアを上手に利用する方法とは？

OSSを上手に利用する方法とは？

OSS活用をご紹介する各種セミナーを実施しています。また、複雑なソフトウェアに含まれるOSSのライセンスと脆弱性を管理することができるOSS管理ツールの「FossID」をデモンストレーションを交えて紹介します。

テクマトリックスSBOMレポーティンサービス

OSSのライセンス情報および脆弱性情報が確認できる

テクマトリックスでは製品に含まれる OSS情報をレポートするSBOMレポーティングサービスをご用意しました。 OSS検出には、OSSライセンス＆セキュリティ管理ツール「FossID」を 用いるため、意図せずソフトウェア内に混入したOSSのコードスニペットも 検出・レポート可能です。

FossID・CI環境構築サービス

FossIDをすぐに使える環境を構築します!CI環境構築サービス

FossIDを導入したらすぐにでも使いたい！しかし業務が忙しく環境を構築している暇がない、自動でスキャンが行えるように実行を自動化したいが構築のノウハウがない、調査する時間がないということはないでしょうか？テクマトリックスでは導入後すぐにご利用いただけるように環境構築サービスをご提供します。FossIDの環境セットアップはもちろん、自動で解析を行うためのCI環境の構築も可能です。