【MTG】
OSSのセキュリティ・ライセンスリスクを回避してOSSを有効活用するには2021年10月22日(金) 13:00~13:45
NEC 先端SI技術開発本部 OSS推進センター
米嶋 大志© NEC Corporation 2021

NEC Group Internal Use Only

自己紹介
 氏名：米嶋 大志（よねしま たいし）
 所属： NEC先端SI開発本部

OSS推進センター

 社内の業務：NECグループへのOSS活用促進
OSSリスク検出ツールの社内促進＆製品担当
 コミュニティ参加：日本OSS推進フォーラム
OpenChain JapanWG

年度
入社 2015年度～
2016年度～
2018年度～

2019年度～
2© NEC Corporation 2021

NEC Group Internal Use Only

業務BigData系OSS検証
社内OSS活用支援
日本OSS推進フォーラム
同上＋OSSリスク検証ツール関係
同上+OpenChain JapanWG

OSS推進センター 社内での役割
先端SI技術開発本部
横断…

的なO
SS活用推進3© NEC Corporation 2021

NEC Group Internal Use Only(2021年4月1日現在)

OSS推進センター

Table of Contents 一般的なOSSのリスクとは
 OSSコンプライアンスに関する世間の動向
 NEC社内で実施しているOSS管理について
 NECが支援できるソリューション紹介

本題にはいる前に…
Ｑ. 世の中にはいくつのＯＳＳがあるだろう？
① ~1,000② 1,000~③10,000～④100,000 ~⑤1,000,000~

A. ④か⑤・Githubに登録されているリポジトリ数：1億
Github. リポジトリ数が1億件に達しました！.https://github.blog/jp/2018-11-09-state-of-the-octoverse/ (2018.11)

・Open Hubに登録されているProject数：490,380
Synopsys BlackDuck OpenHub. https://www.openhub.net/ (2021.10)

・ SourceForgeに登録されているProject数：110,000
SourceForge.net. https://sourceforge.net/ (2021.10)

5© NEC Corporation 2021

NEC Group Internal Use OnlyOSSの粒度⑤ 世の中の有象無象:1億～④ ソフトウェアに関連する依存パッケージを含むソフトウェア(RHEL8.4の場合7,944,903)①、②③ リポジトリサイトに登録されるソフトウェア：100,000～④② インストール作業で指定する単位① 会議で名前が出る単位

OSSだと思われている範囲は①～②、③の一部くらい？
意外と少ないと思っている人が多いのでは。
6© NEC Corporation 2021

NEC Group Internal Use Only

一般的なOSSのリスクとは第三者情報：2020年OSSライセンス、脆弱性の状況

オ ー プ ン ソ ー ス ・ セ キ ュ リ テ ィ & リ ス ク 分 析 レ ポ ー ト（2021年5月公開).
https://www.synopsys.com/ja-jp/software-integrity/resources/reports/open-source-security-risk-analysis.html

8© NEC Corporation 2021

NEC Group Internal Use OnlyOSS利用におけるリスク

OSSライセンス違反による著作権侵害・コンプライアンス問題

企業の損失・ダメージ
刑事罰、賠償・訴訟

脆弱性の存在・対策遅れによる情報セキュリティ事故・情報漏洩

製品出荷停止の損害
ブランドイメージの低下

メンテナンス不備・バグの放置による障害の発生・今後の製品アップデートが困難

9© NEC Corporation 2021

NEC Group Internal Use Only

OSSライセンスの違反事例
著作権侵害・コンプライアンス問題
製品の一部にGPL（=OSSのメジャーなライセンスの１つ。OSS部分と組み合わせて動作する自製部分も含めたソース開示が必要）のOSSを利用したが、ライセンスの定めている条件を満たしていなかった

国内企業の損失・ダメージのリスク

 掲示板等でＯＳＳライセンス違反を指摘された事例
T社：MP3プレーヤー、S社：プレイステーション2用ゲーム

刑事罰、賠償・訴訟費用
製品出荷停止の損害

海外
 著作権侵害により提訴され、多額の費用を支払うことになった事例
SFLCとBusyBox：ユーティリティツール

 開発業者・開発依頼元それぞれで確認をしたが、OSSライセンス違反に気づかなかった事例
米マイクロソフト社「USB版Windows 7」作成ツール
10© NEC Corporation 2021

NEC Group Internal Use Only

ブランドイメージの低下

OSS脆弱性に起因する個人情報漏えい事例
情報セキュリティ事故・情報漏洩

障害の発生・今後の製品アップデートが困難

脆弱性を突いた攻撃で不正アクセスされ、個人情報が漏えいした 2014/04 Ｍ社）OpenSSLの脆弱性を突かれ不正アクセス• 日本で初「Heartbleed」の悪用• 顧客情報の漏えい

 2017/03 G社等）Apache Strutsの脆弱性を突かれ不正アクセス

企業の損失・ダメージのリスク
刑事罰、賠償・訴訟費用
製品出荷停止の損害• 脆弱性発覚後10日程度で7組織、計約72万件以上の個人情報が流出
 2019/11 PHP脆弱性狙うランサムウェア攻撃• ランサムウェア「NextCry」のサーバへ攻撃
11© NEC Corporation 2021

NEC Group Internal Use Only

ブランドイメージの低下

OSSコンプライアンスに関する世間の動向

サプライチェーン上での問題の連鎖

13© NEC Corporation 2021

NEC Group Internal Use Only

オープンソースソフトウェアライセンス遵守に関する一般公衆ガイド.
https://github.com/OpenChain-Project/Curriculum/blob/master/supplier-leaflet/supplier-leaflet-1.0-ja.pdf

コンプライアンス観点
OpenChain認証取得が日本発の動きとして世界にひろがりつつあり OpenChain(ISO/IEC 5230:2020)とは
 主にOSSコンプライアンス観点でソフトウェアサプライチェーン参加企業が満たすべき事項を明文化したもの

 大企業中心に認証取得の動きが広がっている
 BOSCH、CISCO、IBM、Microsoft、SONY、TOYOTA

14© NEC Corporation 2021

NEC Group Internal Use Only

世間的な動向15

https://thinkit.co.jp/article/18611.
米国のバイデン大統領が署名したことで話題となった©「国家のサイバーセキュリティ改善に関する大統領令」とはNEC Corporation 2021
NEC Group Internal Use Only

https://www.linuxfoundation.jp/blog/2021/07/what-is-an-sbom/.
What is SBOMSBOM(Software Bill of Materials)とは集合的ソフトウェアの成分表(ソフトウェアを構成する要素ソフトウェアのリスト)
 SBOMフォーマットは標準化されているものも含め複数あり
 SWID ISO/IEC 19770-2:2015

 SPDX ISO/IEC 5960:2021
 CycloneDX

 表の要素(用途により議論あり)
 開発元
 名称
 バージョン
 コンポーネント間の関連
 ライセンス
16© NEC Corporation 2021

[図の引用元] https://www.ntia.gov/files/ntia/publications/sbom_at_a_glance_ja.pdf
NEC Group Internal Use Only

SBOMへの期待
OSSコンプライアンス管理の効率化やセキュリティ脆弱性対応の容易化においてSBOMが注目を集めている
 SBOMの利用が想定されるシーン(1) 企業間でのOSSコンプライアンス(2) セキュリティ脆弱性管理(識別の容易化)

SBOM

SWVx.y.1

17© NEC Corporation 2021NEC Group Internal Use Only

脆弱性検出改修SW
Vx.y.2

SBOM

SBOM

Vx.y.1

Vx.y.2

セキュリティ脆弱性管理観点
米国で連邦政府納入案件へのSBOM義務化の動きあり。日本は研究中も米国メインプレーヤーのNTIAとの関係あり、今後加速の可能性あり
 米国政府の動き: SBOMに言及した大統領令を発令(2021/5/12)

 日本政府の動き
 経済産業省 がNTIAと連携し、研究中(2019～)

NTIA:
National
Telecommunications
and Information
Administration
18© NEC Corporation 2021

NEC Group Internal Use OnlyOSSコンプライアンスの動向まとめ
 SBOMをキーワードに、OSSコンプライアンスへの注目が高まっている19© NEC Corporation 2021

NEC Group Internal Use Only

NEC社内で実施しているOSS管理体制について【最近のトピック】 「OSSグローバルポリシー」の制定
 2021年9月 海外含むNECグループ全社に対し発行
 OSSコンプライアンス徹底を中心とした極めて基本的な事項の宣言
内容・ OSSコンプライアンスを徹底
・ 社内規定を整備・実施
・ 継続的に教育を実施
・ 適切な人的・組織的・技術的施策
・ 問題発生時の誠実な是正処置と再発防止・ 法令・指針・社会的規範を遵守
国内向け
・ コミュニティのカルチャー尊重、発展に寄与する貢献
・ 継続的な活動見直し・改善
NECグループ オープンソースソフトウェアの取り扱いに関する基本方針
21© NEC Corporation 2021

NEC Group Internal Use Only

海外向け
The NEC Group Statement on
the handling of open source softwareOSSに関連するシステム連携の継続強化
Black DuckをコアとしたSBOM（※）情報集積-統計化・可視化システムを構築（※）Software Bill Ｏｆ Materials

OSSポータル

フィードバック

企画

開発
・OSS構成情報(リリース時)・OSSライセンス
対応方法

・PJ情報
・OSS構成情報（利用予定）

SBOM
・カテゴリ毎の利用OSS実績
・OSS毎の利用バージョン実績
・組み合わせて利用されるOSS
・実績のあるOSSライセンス対応方法
etc.

全社OSS
ナレッジCUOSS（OSSリスク検証ワークフロー）

SBOM・脆弱性対応情報

SBOM

統計化・可視化
22© NEC Corporation 2021

運用・保守

NECがご支援できるソリューション紹介

Black Duckが提供する主な機能

1. OSSスキャン&リスト化
膨大なKBを基OSSコンポーネントを認識
2. リスク情報の紐付け
ライセンス・セキュリティ・運用のリスクを可視化
3. 対応・修正状況の管理
ポリシーを管理し、違反への早期対応が可能
4. モニタ・アラート機能
最新の脆弱性をウォッチし、アラートを発信！
24© NEC Corporation 2021

NEC Group Internal Use Only

顧客課題を解決するNEC商流BlackDuckサポートの強みBlackDuck機能

OSSスキャン&リスト化

リスク情報の紐付け

対応・修正状況の管理

モニタ・アラート機能

トータルソリューション提案力 HW・OS・AP一気通貫サポートのトータルソリューション
（Linuxプラットフォームはシェア国内トップクラス）

 自社でのBlack Duck活用実績(10年以上)

活用ノウハウ Partner Award(*)を受賞した高品質のサポート＋導入支援、解析支援(*)「FY2020 Best Customer Support of the Year」

NEC強み

OSSライセンス
コンサル※製品サポートと独立提供

25© NEC Corporation 2021

NEC Group Internal Use Only

 ネットに散在する都市伝説に惑わされないOSSライセンスの正しい理解、正しい判断ができる組織育成を支援。

【事例】OSSライセンス・コンサル

オリンパスグループ 様 - 導入事例.
https://jpn.nec.com/oss/osslc/Olympus/caseOlympus.html
26© NEC Corporation 2021

NEC Group Internal Use Only