OSAKA NDS Embedded Linux Cross Forum #9

日立製作所におけるOSSコンプライアンスへの取り組み

CoE: Center of Excellence

2019/7/5
株式会社 日立製作所
サービスプラットフォーム事業本部
ソフトウェアCoE
企画推進部 兼 OSSソリューションセンタ
野村 祐治© Hitachi, Ltd. 2019. All rights reserved.

Contents
1. 自己紹介と、日立の紹介
2. OSSコンプライアンスへの取り組み
3. コミュニティ活動(OpenChain活動)© Hitachi, Ltd. 2019. All rights reserved.

1

1. 自己紹介と日立の紹介© Hitachi, Ltd. 2019. All rights reserved.

2

1-1. 自己紹介
 自己紹介【所属】

株式会社 日立製作所
サービスプラットフォーム事業本部
ソフトウェアCoE
企画推進部 2019/4～
兼 OSSソリューションセンタ 2015/10～2019/3

【氏名】

野村 祐治

（のむらゆうじ）【現在の業務】
 日立グループ内のソフトウェア力向上に向けた施策の立案と推進 (社内) OSSコンプライアンス関連サービス提供 (社内外)【現在までの業務】
 ソフトウェア生産技術に関するツール開発、および、社内支援
得意分野はダンプ解析 (coreファイル, クラッシュダンプ, SVCダンプ)【趣味】
 自転車(ロードバイク)
第16回 Mt.富士ヒルクライム 総合順位 2371/6963 (50代クラス 279/1474)
 スポーツ観戦
プロ野球：縦縞ファン
ラグビー：ワールドカップ ニュージーランド vs 南アフリカ チケットGet!
© Hitachi, Ltd. 2019. All rights reserved.

31-2. 日立製作所の概要

会社名

株式会社日立製作所（Ｈｉｔａｃｈｉ，Ｌｔｄ.）

創業

1910年

本社

東京都千代田区丸の内一丁目6番6号

売上収益

9兆4,806億円（2018年度）

調整後営業利益*1

7,549億円（2018年度）

EBIT*2

5,139億円（2018年度）

親会社株主に帰属する当期利益

2,225億円（2018年度）

連結従業員数

295,941名（2018年度末時点）

連結子会社数803社（2018年度末時点）*1：調整後営業利益＝売上収益－売上原価－販売費及び一般管理費*2：EBIT：Earnings Before Interest and Taxes（受取利息及び支払利息調整後税引前当期利益）© Hitachi, Ltd. 2019. All rights reserved.

41-3. 日立の事業部門別売上高構成 (２０１８年度)© Hitachi, Ltd. 2019. All rights reserved.

51-4. 組織体制

サービスプラットフォーム事業本部
ソフトウェアCoE
企画推進部
OSSソリューションセンタ
…
© Hitachi, Ltd. 2019. All rights reserved.

6

2. OSSコンプライアンスへの取り組み© Hitachi, Ltd. 2019. All rights reserved.

72-1. OSSコンプライアンスへの取り組み
 OSSコンプライアンスを遵守するため、日立社内で以下の取り組みを実施
 OSS専門組織
 OSS取扱いに関する会社規則
 OSS取扱いに関するガイドライン
 OSS取扱いに関する社内教育
 OSS取扱いに関する社内インフラ© Hitachi, Ltd. 2019. All rights reserved.

8

2-2. OSS専門組織
OSS専門組織 OSSソリューションセンタ設立 (2015/10)
 OSS活用の日立グループ内の取りまとめ
 ミッション: OSSによる日立グループへのビジネス貢献
 OSS活用ノウハウおよび、サポート・ソリューションの提供
 OSSを安心して利用するためのインフラ・ガイドの提供
 OSSコミュニティ貢献・標準化活動を通じたプレゼンス向上
OSS活用ノウハウおよび、サポート・ソリューションの提供

サービス• OSS関連サービスの提供、案件対応、事業化支援• OSSの評価・検証に基づく、技術ノウハウの提供• OSS人財の育成

OSSを安心して利用するためのインフラ・ガイドの提供• よろず相談窓口によるワンストップ対応• OSSの取得・管理・検証に関する社内プロセス改革、インフラ提供• OSS活用ガイドラインおよび、ライセンスなどコンプライアンス関連情報の提供

プロセス コミュニティ

OSSコミュニティ貢献・標準化活動を通じたプレゼンス向上• 社内外のパートナーとの連携・協調• OSSコミュニティへの貢献• 標準化活動© Hitachi, Ltd. 2019. All rights reserved.

92-3. OSS取扱いに関する会社規則
OSS取得に関する会社規則

Point! : OSSは使う前に審査する

 他者知財の尊重と、自社知財の保全を目的とした、第三者からの技術情報取得の手続きに関する会社規則は存在。
 OSSの特性に合わせたOSS取得に特化した会社規則を制定。OSS取得の規則においては、以下を規定。
 OSS取得に関する審議体の規定
 OSS取得に関する審議項目と、審議担当部署の規定
例)
審議項目

審議担当部門

取得計画及び目的

技術管理部門

取引先の信用状況

OSS担当部門

ライセンスの確認

OSS担当部門

 OSS取得の決裁者
OSS取得に特化した会社規則制定の背景
既存の技術情報取得手続きは経理部門が価格審議、調達部門が契約交渉するように規定。
OSSは無償であることから経理視点の価格審議は不要。また、契約の交渉相手が不在でライセンスの遵守が可能か否かの確認のみが必要等、OSS特性に合わせた手続きが必要なため。
© Hitachi, Ltd. 2019. All rights reserved.

102-4. OSS取扱いに関するガイドライン
OSS取扱いに関するガイドライン

Point! : やるべき作業をガイド

 OSSの取扱いにおいて、利用者の行うべき作業・検討すべき項目をガイドラインとして規定。
 日立の標準開発方法論で定義する開発フェーズ、開発プロセス毎にワークシート形式で必要な作業をガイド。
例、抜粋)
フェーズ

プロセス

検討・作業項目

企画

要件定義

OSSの提供状況の確認
脆弱性事故への対応方法の確認

基本設計

システム方式設計

OSSの入手手続き

受入テスト

導入・受入

ライセンス遵守状況の確認

OSS取扱いに関するガイドライン
OSSの活用には注意すべきリスクがあり、OSSの利用者が事業活動のそれぞれのプロセスで何をリスク要因として注意し、何に基づき何を検討・実施すれば良いかの指針を示している。
パワーポイントで170枚程度の分量。
© Hitachi, Ltd. 2019. All rights reserved.

112-4. OSS取扱いに関するガイドライン
実物抜粋© Hitachi, Ltd. 2019. All rights reserved.

122-5. OSS取扱いに関する教育
Point! : e-learningで広く展開

OSS取扱いに関する社内教育

 OSSに携わる人全員が受講するe-learningと、より深い知識習得のための集合教
育に分けて実施中。
教育名称
OSSの基礎OSS
コンプライアンス
教育

概要

対象者

形態

希望/
全員

ﾀｲﾐﾝｸﾞ
1回/2年

OSSを利用するために必要な基礎知識を習得する教育(コンプライアンスのポイント､活用するための検討事項)

OSSを利用するための e-learning
社内インフラ利用経験のある営業、SE、設計、品質保証、他は必須。
グループ会社も無料で受講可能

全員

OSSのコンプライアンス(ライセンス、知財、他)、ガイドラインに関する教育

OSSのコンプライアン
ス、管理に関係する管理者、担当者向け

希望者

集合研修
(社外講師講演会含)(2016年～開始)

4回/年(2016年～開始)

現状のOSSのコンプライアンスの教育は、① OSSガイドラインをベースとして、② OSSを利用するために必要な基礎知識をe-learningで提供、③ 特に難しいコンプライアンス、ガイドラインの応用を集合研修で提供© Hitachi, Ltd. 2019. All rights reserved.

132-6. OSS取扱いに関するインフラOSS取扱いに関する社内インフラ

Point! : 自社開発システムで管理 会社規則、ガイドラインで規定した作業を効率よく行うため、社内インフラを開発・整備。
 今回は、以下の2つを紹介
 OSS管理システム (日立独自開発)
 Black Duck (シノプシス社から購入)(詳細は付録)(詳細は付録)社内インフラの必要性
社内インフラは、以下の課題意識(一部)の元、自社開発、及び、ツール導入を行っている。
 ライセンスの内容(許諾事項、義務・制限事項)確認が難しい
 OSSライセンスの解釈情報(日本語)の提供 ⇒ OSS管理システム
 複数部署が同一OSSの導入時に同じ調査(ライセンス,暗号有無,脆弱性有無)を行うことによる無駄 OSS取得時の調査結果の共有によるOSS取得審査の効率化 ⇒ OSS管理システム
 OSS起因の脆弱性発生時の早期対処が必要
 OSS起因の脆弱性の早期把握 ⇒ Black Duck
 OSSを利用している製品の一元管理 ⇒ OSS管理システム
 OSS取得時のライセンス調査漏れや、調査に長時間かかる
 OSSの中にOSSが同梱されている等、調査漏れや、調査に時間がかかるライセンス
特定の効率化 ⇒ Black Duck
© Hitachi, Ltd. 2019. All rights reserved.

14

2-6. OSS取扱いに関するインフラ
開発プロセス全般で、管理をシステム化するインフラを構築
調査
OSS評価
・

社内実績確認ライセンス確認

社内利用
状況確認

開発
OSS入手
・

実装
・
構成管理

コミュニティ評価
ライセンス審査

利用OSSの登録販売・保守（サポート）
出荷・

OSS適正利用確認
ライセンス
一覧作成

開発委託
・

利用申請・
専門部署
による審査

脆弱性監視
・
自社製品影響調査
License

該当OSS
利用製品調査3rd party
ライセンス
リスト生成

納品物のOSS
適正利用確認(社内)OSS管理システム（DB）
Workflowによる審査

OSS利用
コンタミ
確認

ライセンス調査

OSS利用
コンタミ
確認

脆弱性通知

Black Duck, Black Duck Protex
活用プロセス

実施事項（ルール等で規定）

システム、ツール© Hitachi, Ltd. 2019. All rights reserved.

15

3. コミュニティ活動(OpenChain活動)© Hitachi, Ltd. 2019. All rights reserved.

16

3-1. コミュニティ活動
日立ではコミュニティのサポートや開発貢献、イベントの運営等に取り組み、OSSの普及促進に尽力しています。以下は主な活動。
分類

団体名称

日立における最近の主な活動

全般

Linux Foundation

 Platinum Sponsorの理事として、運営方針の策定等を実施。
 OSS共同開発Projectへの参加：
 OpenChain Project
プラチナメンバーとして活動中。
 Hyperledger
Project ボードメンバー(Premier)として参加。
各種機能の開発に貢献中。
 CIP(Civil Infrastructure Project)
設立メンバー(Platinum)として参加。産業界でLinuxの長期サポートを提供すべく活動中。
 AGL(Automotive Grade Linux)
Bronzeメンバーとして参加。特に、Navigation Expert Group
でCar Navi用APIの仕様を策定中。
 Core Embedded Linux
Project Steering Committee Memberとして活動中。組み込み用LinuxのLong Time Supportを実施。
 主催イベントの後援、論文審査など。

Linux ProfessionalInstitute 理事企業として活躍中
OSS/Linux関連の認定試験開発を通じてOSS技術者の育成に貢献© Hitachi, Ltd. 2019. All rights reserved.

17

3-1. コミュニティ活動
分類

団体名称

日立における最近の主な活動

セキュリ
ティ

OSSセキュリティ技術の会(Secure OSS SIG)

 セキュリティ技術の普及促進・技術者交流

組込み・産業Open SourceAutomation
Development Lab

 ブロンズメンバーとして参加

ライセンス(一財)ソフトウェア情報センター(SOFTIC)

 IoT時代におけるOSSの利用と法的リスクに関する検討委員会に参加

オープンソース
ライセンス研究所

 正会員として、法務・知財担当者向けに技術用語集を編纂・公開する「技術用語解説分科会」に参加

 会の立ち上げ、および会長として活躍中

 Open Source License Checklists
OSS Licenseの義務、権利を整理して、OSSを安全に利用するためのチェックリストを開発。
 OSSのライセンス解釈、リスクの共通理解形成を目的に活動中

 ライセンスの研究を行い、OSSの健全な利用を促進を目的に活動中
一般

日本OSS推進フォーラム

 各種イベントでの講演実施

その他

 OSSに関する書籍/雑誌、Web記事の執筆

 理事企業及びビッグデータ部会リーダーとして活躍中 コミュニティへのパッチ投稿

詳細はこちら
http://www.hitachi.co.jp/products/it/oss/efforts/index.html#community© Hitachi, Ltd. 2019. All rights reserved.

18

3-2. OpenChain活動2017年9月にOpenChainプロジェクトに加盟
 OpenChainプロジェクトの流れ 2015年10月 OpenChain 発足
 2017年3月より、OpenChainの仕様、FAQの翻訳作業に日立も参画
 2017年9月 日立製作所 OpenChain Project加盟 (日本企業で2番目)：
 2017年12月 JapanWG発足
OpenChain Japan Work Group (JWG) Wiki
https://wiki.linuxfoundation.org/openchain/openchain-japanese-working-group： OpenChainプロジェクトの加盟の目的
社内OSS取扱いプロセスの整備(業界標準の取り込み)

社内OSS取扱いに関する課題の解決(ライセンス調査作業の改善 など)

OSS業界への貢献
・プレゼンス向上© Hitachi, Ltd. 2019. All rights reserved.

193-2. OpenChain活動
社内OSS取扱いプロセスの整備 ⇒ OpenChain適合状況のギャップ分析
 OpenChain仕様：6つの主要なカテゴリーと、各カテゴリーの要求事項を定義
G1. FOSSに関わる責任の理解
ガイドライン、教育G2. コンプライアンスを履行するための責任者のアサイン専門組織の長に権限

G3. FOSSコンテンツのレビューと承認
インフラでレビュー、ワークフローで承認

G4. FOSSコンテンツ ドキュメントとコンプライアンス関連資料の頒布インフラで3rd party Licenseリストの自動生成・配布

G5. FOSSコミュニティへの（積極的な）関わり方の理解
ガイドライン、教育にて周知

G6. OpenChain 要件適合の認定
会社規則、ガイドライン、教育© Hitachi, Ltd. 2019. All rights reserved.

20

3-2. OpenChain活動
社内OSS取扱いプロセスの整備 ⇒ OpenChain仕様適合の認証取得
 「オープンソース ライセンス ガバナンス プロセス認証」を取得。
この認証はOpenChainプロジェクトが求める仕様に適合しており、OpenChainプロジェクトが認める最初の第三者認証の取得事例です。

認証書授与セレモニー
認証機関である
テュフズードジャパン株式会社
発行の認証書© Hitachi, Ltd. 2019. All rights reserved.

21

3-2. OpenChain活動
OpenChain仕様適合の認証取得に関する苦労点共有
 教育の受講 既に教育を持っていたが、OpenChain仕様では教育に含まれる必要があるトピックを定義
 既存の教育コンテンツでは足りないトピックがあったので追加
 その後、再受講展開。85%の受講率までフォロー 認証機関の求める要件がOpenChain仕様以上
 OpenChain仕様：A test may be used 認証機関：Must be test
 教育にテストを追加

認証に興味がある方がおられましたら、情報交換しましょう！

© Hitachi, Ltd. 2019. All rights reserved.

22

3-2. OpenChain活動
社内OSS取扱いに関する課題の解決
 OSS利用時のライセンス調査作業の負担大！
 OSS利用時のライセンス調査
 Black Duckの活用 ⇒ Black Duckでもライセンスが特定出来ないケース
 ライセンス情報の探し出し ⇒ ライセンスファイル無しや、多数の同梱物OSSの提供者にライセンス情報を解り易く提供してもらう必要がある！
OpenChain JapanWG 「ライセンス情報授受」SWG にて活動中。

© Hitachi, Ltd. 2019. All rights reserved.

23

3-2. OpenChain活動
OSS業界への貢献
 OSSに関する社内教育！
 OpenChain設立前から、OSSに関する教育を実施している会社もある。
 これから教育を実施する会社は、どういう教育内容、対象者からスタートすべきか？検討が必要。
 会社毎のビジネス形態により OSSに関わる必要なビジネスフローは異なる。
 ビジネスフロー上の、役割（＝部門）ごとに必要な教育観点は異なっている。
OSSを扱う上で役割ごとに共通で必要な教育資料を用意出来ないか？
 OSSにこれから取り組む企業は参考になる。
 既に教育教材を持っている企業は、自社固有部分の教育資料のみを作成すれば良い。
OpenChain JapanWG 「役割ごとの教育資料」SWGにて活動中。

© Hitachi, Ltd. 2019. All rights reserved.

24他社商品名、商標等の引用に関する表示
 HITACHIは、株式会社 日立製作所の商標または登録商標です。

 Black Duck、Black Duck Open Hub、 Black Duck Protex は、米国Black
Duck Software, Inc.の米国およびその他の国における商標または登録商標です。
 Linuxは、Linus Torvalds氏の米国、日本およびその他の国における登録商標または商標です。
 記載の会社名、製品名などは、それぞれの商標もしくは登録商標です。

© Hitachi, Ltd. 2019. All rights reserved.

25

付-1. OSS取扱いに関するインフラ(OSS管理システム)
課題
認識■大量のOSS導入に伴う効率化不足■ライセンス不知リスクに対処する仕掛けが必要

推進内容■OSS情報のDB化、手続きIT化■専門体制によるOSSライセンスの解釈

OSS情報のDB化、手続きIT化①OSS情報の共有による導入プロセス効率化
・複数プロジェクトでの重複調査の排除(ライセンス, 暗号)・ワークフローによる審査の効率化

OSS管理システム②OSS用管理によるトレーサビリティ確保
・脆弱性が発見されたOSSを含む製品、サービスを迅速に特定専門体制によるOSSライセンスの解釈①OSSライセンスを開発者が理解しやすい表現で整理②プロジェクトでの利用方法に基づき必要な義務条件をDB上で表示© Hitachi, Ltd. 2019. All rights reserved.

27

付-1. OSS取扱いに関するインフラ(OSS管理システム) ライセンスの解釈
GPLv3ってどういうライセンス?

許諾される利用方法8パターン
許諾事項

許諾事項

義務条件

義務条件： .....

義務条件： .....
ANDOR

義務条件： .....
義務条件： .....
制限条件： .....

利用方法選択••

利用方法に応じた義務/
制限条件をガイド
組合わせをAND/ORで表示© Hitachi, Ltd. 2019. All rights reserved.

28

付-1. OSS取扱いに関するインフラ(OSS管理システム)
 OSSライセンスの解釈 (例) － GPLv3のソース提供方法# 以下の いずれか を選択
1 当該ソフトウェアに対応するソースコードを添付する
2 オブジェクトコードを保持するものに対して、頒布に要する物理的コストを上回らない程度の手数料と引き換えに、当該ソフトウェアに対応するソースコードを物理的媒体で提供する旨を述べた、少なくとも3年間、もしくは、オブジェクトコードが組み込まれた製品のモデルの補修用部品の提供やカスタマーサポートを提供している間のいずれか長い方の期間は有効な書面を渡す
3 オブジェクトコードを保持するものに対して、当該ソフトウェアに対応するソースコードをネットワークサーバから無償で提供する旨を述べた、少なくとも3年間、もしくは、オブジェクトコードが組み込まれた製品のモデルの補修用部品の提供やカスタマーサポートを提供している間のいずれか長い方の期間は有効な書面を渡す
4 オブジェクトコードもしくは実行形式とソースコードとを同等のアクセス手段で同じ場所からダウンロードできるようにする
5 ピア・ツー・ピア伝送を用いる場合、オブジェクトコードとソースコードが無償で公開されている場所を他のピアに通知しておく© Hitachi, Ltd. 2019. All rights reserved.

29

付-1. OSS取扱いに関するインフラ(OSS管理システム)
 OSS管理システムで保持している OSSライセンスの分析結果(ライセンス論理分解)を公開していく。
 Hitachi Githubサイトから公開
https://github.com/Hitachi/open-license
ライセンス: CDLA-Permissive-1.0

 OSSライセンスの分析を行っている団体であるOSADLへも日立のライセンス分析結果をを提供する旨連絡。
好意的に受け止めて貰えている。
OSADL(Open Source Automation
Development Lab eG、オザドル)とは、OSSの産業利用を目的とした国際協同組合。
(eG: Cooperative society)
OSADLの中の一つのプロジェクトであるOpen
Source License Obligations Checklists© Hitachi, Ltd. 2019. All rights reserved.

30

付-2. OSS取扱いに関するインフラ(Black Duck)③出荷前製品の検査Black Duckによる出荷物の調査。
意図しないOSS混入によるライセンス遵守違反抑止。

①利用審査のための準備Black Duckによるライセンスの調査。
OSS利用審査のための工数削減。

製品
OSS

OSS

OSS
(調査)

OSS評価

実装

②OSS

プロトタイプ／PoC作成

製品
OSS

OSS

③

製品

製品

OSS

OSS

(開発)

(開発)

①

④出荷済み製品の脆弱性点検
Black Duckによる出荷済み製品の脆弱性点検。
脆弱性問題の早期検出によるセキュリティリスク軽減。

出荷④(販売・保守)

脆弱性監視②納品物の検収Black Duck納品物の調査。
意図しないOSS混入によるライセンス遵守違反抑止。

開発委託
OSS

Black Duck活用シーン© Hitachi, Ltd. 2019. All rights reserved.

31

付-2. OSS取扱いに関するインフラ(Black Duck) OSS入手時のライセンス自動チェック

日立内でOSSを入手する時(Internetからダウンロード)、ダウンロード物をBlack Duckでスキャン(ライセンス確認)。商用利用不可のソフトウェア利用排除と、後続の取得手続きの効率化を行っている。

© Hitachi, Ltd. 2019. All rights reserved.

32