2022年のOSSRAレポートによれば「組織の88％がオープンソースの情報を最新の状態にできずにいる」

M＆Aにおける買収者は、買収するソフトウェアに関連するリスク、具体的には、ライセンス、セキュリティ、およびそのソフトウェアで使用されるオープンソースの品質に関するリスクを理解したいと考えています。OSSRAの監査数の増加は、売り手が取引を損なう可能性のあるソフトウェアの潜在的な問題に対してより敏感になり、M＆Aが進行する前に起こりうる問題を軽減する方向に向かっていることを示しています。

調査したすべての業界で、オープンソースが高い割合で含まれていました

• 2022年のOSSRAレポートに示されている17の業界のうち、4つ（コンピューターハードウェアと半導体、サイバーセキュリティ、エネルギーとクリーンテクノロジー、IoT）には、監査対象のコードベースの100％にオープンソースが含まれていました。残りの業界ではコードベースの93％から99％にオープンソースがありました。

オープンソースは本当にどこにでもあります。 2022年1月のホワイトハウスの声明によれば、ソフトウェアは「経済のあらゆる分野に遍在し、アメリカ人が毎日使用する製品やサービスの基盤となっています。 ほとんどの主要なソフトウェアパッケージにはオープンソースソフトウェアが含まれており、価値をもたらすと共に課題もあります。」

ライセンスの競合を含むコードベースの大幅な減少

• コードベースの半分以上（53％）にライセンスの競合が含まれていましたが、2020年に見られた65％から大幅に減少しました。全般的に、特定のライセンスの競合は2020年から2021年の間に全面的な減少を見せました。

監査で見られた1つの増加は、Creative Commons Share Alike 3.0（CC-SA 3）ライセンスに関するものでした。CC-SA 3ライセンスの競合はオープンソース・ライセンスに関して見落とされている問題を示しています。ソフトウェアは「そのコードに依存」しているため、開発者はコード・スニペット、関数、メソッド、および操作可能なコードをソフトウェアに導入することがよくあります。これは一般に依存関係と呼ばれます。ただし、依存関係自体は、開発者またはエンドユーザーが認識していないライセンス契約条件を含むサブ依存関係を利用する場合があります。たとえば、人気のあるnode.jsコンポーネントの一部のバージョンには、CC-SA 3ライセンスの下でライセンスされたコードを活用する依存関係が含まれているため、ライセンシーに望ましくない要件が課せられ、IPの問題の可能性について法的な評価が必要になる場合があります。

引き続き、パッチ管理は課題

• コードベースの2,097には、セキュリティと運用上のリスクの評価が含まれており、これらのコードベースの81％には、少なくとも1つの脆弱性が含まれているものの、2021年のOSSRAの調査結果から3％ほど減少しています。少なくとも1つのリスクの高いオープンソースの脆弱性を含むコードベースの数は劇的に減少しました。監査されたコードベースの49％には、リスクの高い脆弱性が少なくとも1つ含まれていましたが、昨年と比べて11％減少しました。
• 運用上のリスクや保守の観点から、2,097のコードベースの85％には、4年以上前のオープンソースが含まれ、88％は最新バージョンが利用可能であるにもかかわらず、使用していませんでした。