ソフトウェア開発に欠かせないオープンソースソフトウェア（OSS）とは？〜安全に活用するために知っておくべきリスク〜

2021年06月10日
ソフトウェア開発に欠かせないオープンソースソフトウェア（OSS）とは？〜安全に活用するために知っておくべきリスク〜

Author

伊藤葵 ito aoi

伊藤葵</mt:Var>

みなさん、こんにちは。リックソフト営業の伊藤です。

ソフトウェア開発に必要不可欠なOSS（オープンソースソフトウェア）ですが、みなさんは自社のソフトウェアにどんなOSSが使われているか、利用状況は把握できていますか？

OSSの利用には様々なメリットがありますが、同時にリスクも存在します。

本日はOSS利用上の注意点をご説明いたします！

■OSS（オープンソースソフトウェア）とは？

オープンソースとは、ソースコードを誰でもアクセスできるようにし、自由に改良や再配布することを許可したものです。

一からソフトウェアを開発するのには多大な時間と労力を要しますが、既に出来上がっているオープンソースを利用すればその手間を大幅に減らすことが可能です。

ソフトウェアにおけるOSSの利用割合は年々増加の傾向にあり、現在、ソフトウェア製品の90％以上の実装にOSSが利用されていると言われています。

参照

『オープンソースの定義』・・・ Open Source Initiative (OSI) ※1で作成された10項目に当てはまること。

自由な再頒布
ソースコード（「ソースコード公開」も含む自由な利用）
派生物（Derived Works. 派生物の自由な利用）
原著作者のソースコードとの区別 (Integrity) - これはTeXなどパッチのみの配布を要求するソフトウェアをOSDに合致させるための妥協の産物である。
特定人物・集団に対する差別の禁止 - たとえば「特定国家への輸出を禁ずるソフトウェア」はOSDに合致しない。
使用分野 (Fields of Endeavor) に対する差別の禁止 - 例えば「兵器への利用を禁ずるソフトウェア」はOSDに合致しない。
ライセンスの権利配分（Distribution of License. ライセンスが再頒布者に認める権利は差別なく与えなければならない。）
ライセンスは特定製品に限定してはならない
ライセンスは他のソフトウェアを制限してはならない - 著作物として別個のものと明確に定義できる各ソフトウェアはそれぞれ別のライセンスであってもよい（例えば一方がオープンソースライセンスであっても他方はプロプライエタリであってもよい）。GPLもこの条件に合致している（"集積物の別の部分と見なされるパッチ"を参照）。
ライセンスは技術中立 (Technology-Neutral) でなければならない - ライセンスに特定技術に依存するような条項があってはならない。例えばクリックラップ（英語版）などのソフトウェア利用許諾契約は、GUIのクリック操作という、契約に対する明確な同意の意思表示を強要する。仮に「クリックラップ」条項が含まれたオープンソースソフトウェアをCUI環境でしか動作しないソフトウェアに組み込んだ場合に問題が発生する。

参照元

なぜオープンソースソフトウェア（OSS）が使われるの？

OSSの利用には以下のようなメリットがあります。

開発のスピードアップ（⇒ 車輪の再開発が不要になる）
信頼性（⇒オープンソース・コミュニティによって、常に最新版に更新される）

■必要不可欠なOSSですが、利用には課題やリスクがあります！

課題

オープンソースの利用状況が把握できない
OSSの知識を持った技術者不足
開発元にバグ修正の責任はない⇒バージョンアップの管理が煩雑

リスク

脆弱性・セキュリティによるリスク
ライセンス違反・訴訟リスク

■脆弱性・セキュリティによるリスクって何？

OSSは誰でも自由に改良、再配布することができるということから、頻繁に利用されているOSSであれば
世界中にいるユーザーの誰かがソースコードの不具合を見つけ、修正や改良が行われています。

公開されたセキュリティ脆弱性にはパッチやバージョンアップ等の対策が必要となり、何も対策を行わず修正前のソフトウェアを利用し続けた場合、脆弱性を突いたサイバー攻撃を受ける可能性があり非常に危険です。

脆弱性を突いたサイバー攻撃により、「個人情報の窃取」「IT基盤の障害に伴う業務停止」といった被害もでております。

OSSを利用する場合には常にセキュリティ脆弱性の情報を確認し、セキュリティ脆弱性のないバージョンを利用することが重要です。

■ライセンス違反・訴訟リスクって何？

OSSは誰もが自由に利用、再配布可能ですが、何をしても良いと言うわけではありません。

OSSのライセンスにはコピーレフトという著作権に関する概念があり、適用範囲に応じて、ルールに沿って利用する必要があります。

ライセンス違反をした場合は、訴訟に発展してしまうこともあり、製品の販売停止や損害賠償が求められることもあります。

OSSを利用する場合には、開発したソフトウェアにどのようなOSSが利用されているかを把握し、OSSライセンスが要求する条件を満たすことが重要です。

類型	改変部分の公開義務	組み合わせて利用しているソースコードの公開義務組合せソースコードの公開義務	主なライセンス
コピーレフト型	○	○	GPL AGPL EUPL
準コピーレフト型	○	×	LGPL MPL
非コピーレフト型	×	×	BSD Apache License