FossID - OSSライセンス＆セキュリティ管理ツール
FossIDは、最新鋭のスキャニング エンジンと、膨大なオープンソース情報ナレッジベースに支えられた新しいOSSライセンス＆セキュリティ管理ツールです。さまざまなプログラミング言語のファイルに対し、独自のコード検索アルゴリズムで高速にスキャンを行い、コードの派生元であるオープンソースを特定します。また、NIST（アメリカ国立標準技術研究所）で公開されるCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）情報に基づくOSSの脆弱性情報も表示し、OSSのセキュリティ対策に役立ちます。
部分的にコピー＆ペーストしたOSSの情報を確認できるコード スニペット検出にも対応し、より正確で広範囲な情報を可視化します。また、正確なSBOM（Software Bill of Materials：ソフトウェア部品表）を作成し、SPDX/SPDX Lite、CycloneDX、Excelなどのフォーマットで、用途に合わせたレポートを出力できます。
生成AIによる「コードベースの汚染」のセキュリティ リスク
生成AIコーディング アシスタントは、開発生産性を飛躍的に高める一方で、新たなリスクをもたらします。生成AIの学習データには膨大な量のオープンソース コードが含まれています。AIが生成するコードには、OSSのコード スニペットが紛れ込むことがあり、開発者が気付かないうちに自社のコードベースに取り込まれ、コピー＆ペースなどによって全体へと広がっていく「コードベースの汚染」のリスクがあります。コードベースにOSS由来のライセンス違反や脆弱性が入り込んだ場合、時間がたつほど対処が難しくなるため、こうしたリスクにできるだけ早く気付くことが重要です。
FossIDは、AI生成コードの中にオープンソース コードが紛れ込んでいないかをスニペット レベルで検出し、開発チームが生成AIのメリットを安心して享受できる環境を提供します。
信頼できるSBOMを生成する
ソフトウェア サプライチェーンの複雑化と、EUのCRAや米国の連邦調達規則をはじめとする法規制の強化に伴い、SBOM（ソフトウェア部品表：Software Bill of Materials）の生成・管理はもはや任意ではなく必須の取り組みとなっています。正確なSBOMを生成して管理することで、脆弱性の分析やライセンス情報の入手が容易になり、リスクを可視化できます。新たに発見された脆弱性の潜在的なリスクを迅速かつ容易に判断することができます。
FossIDは、パッケージマネージャーによって明示的に取り込まれたか、ファイルのコピーなどの暗黙的な手段で取り込まれたかを問わず、コードベースに存在するオープンソース、サードパーティ、商用、および独自仕様のコンポーネントを識別（商用および独自仕様は事前の情報登録が必要）し、正確なSBOMを生成します。さらに、サプライヤーから受領したSBOMの検証・統合から、脆弱性やライセンス リスクの継続的な管理まで、SBOMのライフサイクル全体を一元的に運用できます。
これにより、高まる法令対応の負担を軽減しつつ、監査対応の効率化とセキュリティ リスクの早期発見を実現し、ソフトウェア サプライチェーンの透明性と信頼性を強化します。
シフトレフト テスト：スキャンとゲートをCI/CDパイプラインに統合
脆弱性やライセンス違反、ポリシー逸脱が開発の後工程やリリース直前に発見されると、手戻りが発生し、修正コストが大幅に増加します。
そこで、オープンソース リスクの検査をできるだけ早い段階に前倒しするため、FossIDを開発者のクライアント マシンからCI/CDパイプラインまで一貫して組み込み、作業中のコードを継続的にスキャンできるようにします。コードに変更が加えられるたびに自動でスキャンを実行し、ポリシー違反が検出された場合はパイプラインをブロックすることで、問題のあるコードが本番環境へ到達する前に止めることができます。
開発の最も早い段階で問題を検出できるため、リリース直前や運用後に問題が発覚した場合と比べて手戻りが少なく、修正コストを大幅に削減できます。
なお、FossIDツールはソフトウェア開発ライフサイクル（SDLC）から切り離して単独で使用することもできますが、SDLCツールチェーンに組み込むことで、その効果を最大限に高めることができます。
海外でのFossID導入事例企業
