2023 OSSRAレポート： オープンソースのトレンドを深掘り

調査対象のすべての業界で、オープンソースの割合が高い結果に

2023 OSSRA レポートを代表する17業種のうちの以下の業種 — 航空宇宙、航空機、自動車、運輸、 物流、エドテック、IoT — ではオープンソースが監査したコードベースの100%で利用されていました。残りの業種においても、コードベースの92%でした。

経済的な不確実な状況においても、監査件数は堅調

• 2022年におけるシノプシスによる監査は1,703のコードベースで行われ、96% がオープンソースを含んでいた

シノプシスの監査サービスチームは、千件以上のコードベースの監査を毎年顧客向けに実施しています。主にM&A手続きにおいてソフトウェアリスクの範囲を特定することを目的にしています。2022年は経済的に不透明な状況であったため、テクノロジー分野でのM&Aが低調であったにも関わらず、監査件数は引き続き強いままでした。

組織は高リスクの脆弱性を修正していない

• 2019年以降、OSSRAの全17業種では高リスクの脆弱性の増加は少なくとも42%となり、小売とeコマースでは557%の急激な増加が見られ、コンピュータのハードウェアと半導体では317%の増加であった

今年新たな点として、5年間の振り返りでは、オープンソースとセキュリティのトレンドの幅広い視点を提供しています。これは、業種毎に、監査されたコードベースのオープンソースの全割合は、さまざまであるものの、全般的に増加していることがわかります。脆弱性についても同様で、特定の業種では脆弱性の急増の懸念と脆弱性の緩和対策が欠けていることを示しています。

賢いオープンソース管理に向けて

現在、ソフトウェアセキュリティにリモートで関与している人は、ソフトウェア・サプライチェーンに関心を持っている可能性があります。 サプライチェーンへの攻撃が絶え間なく続く現在の状況では、このレポートで得られた数字は非常に緊急な自体であることを示しています。しかし、どこから手をつけたらよいか悩んでいる組織では、アプリケーション内のオープンソースやサードパーティ・コードの管理を最初のステップとして検討する必要があるでしょう。

コードを管理するには、依存関係を完全に可視化する必要があります。2023年のレポートでは、商用コードの96%にオープン ソースが含まれているとしており、アプリケーションで使用されているコンポーネントを可視化することは、DevSecOpsプログラムの基本要件となるはずです。ソフトウェア部品表（SBOM）は、ビジネスリスクと包括的なセキュリティに必要な「気づき」を提供します。つまり、安全であることを「信頼」するのではなく、それを「検証」することができるということです。