オープンソース·セキュリティ＆リスク分析レポート

今回で第8版となる年次レポート「オープンソース·セキュリティ＆リスク分析」（OSSRA）レポートは、17の業界にわたる約1,700のコードベースに見られる脆弱性とライセンスの競合を調査しています。このレポートは、セキュリティ、法務、リスク、開発の各チームが、オープンソースの開発および使用に伴うセキュリティとリスクの状況をより良く理解するための推奨事項を示しています。

オープンソースはどこにでも存在します

オープンソースは、商用コードベースの大部分の基礎として機能し、その持続的な力を証明し続けています。実際、オープンソースは現代の開発において非常に密接に絡み合っており、コードの所有者はしばしば自分自身のソフトウェアに含まれるオープンソース·コンポーネントを知らないことがあります。

セキュリティリスクが蔓延

セキュリティ脆弱性を含むコードベースの全体的な割合は、依然として厄介なほど高い水準にあります。 1年間は緩やかな進展でしたが、2022年中にも脆弱性がわずかに増加（4％）しました。 全体の脆弱性はわずかに増加したものの、高リスクの脆弱性を含むコードベースの割合は昨年から2%減少し、48%となりました。また、Log4Jが減少しており、今年は監査対象のJavaコードベースの11%で発見され、15%から減少していることも期待されます。改善されたとはいえ、これは、組織がパッチの実装に失敗しているという大きな傾向を示しています。

運用リスクが蔓延

過去2年間、開発活動もユーザーによる更新も行われていないオープンソースが、コードベースに含まれていることが懸念となっています。 24ヶ月間、機能のアップグレード、コードの改善、セキュリティの修正が行われていない場合、そのプロジェクトはもはや全くメンテナンスされていない可能性があります。

主要産業は依然として脆弱

すべての業種において同じような結果が得られました。オープンソースはほとんどすべてのコードベースに存在し、コードベース全体の大部分を占めており、悪用や攻撃に対して脆弱であることがわかりました。このビジネス·リスクを軽減できるのは、組織で使用されているすべてのソフトウェアの包括的なインベントリだけです。