OSSの教育資料を作りました

2023.8.26
OpenChain Japan WG
1目次

1.

OpenChain 及び OpenChain JWG

2.

JWG 教育 SG について

3.

教育教材の紹介

4.

今後の活動

5.

最後にOpenChain Japan Work Group2

OpenChainプロジェクト
オープンソース ライセンス コンプライアンスのためのプロセスマネジメントの国際標準の策定とその普及を目指す、Linux Foundationのプロジェクトの一つ。
(1)

(2)
(3)

Linux Foundation のホームページから：(1) Projects を選択し、(2) 下にスクロールし、(3) “Find a project to contribute to” で“Open Source & Compliance Best Practices” を選択
https://www.linuxfoundation.org/

OpenChain Japan Work Group3さまざまなLFプロジェクト
ソースコード(Code)

単体(Single)

集合(Umbrella)

仕様 (Speciﬁcation)
OpenChain Japan Work Group
4オープンソースライセンス■とコンプライアンス■•ライセンスに基づくソースコードの公開•配布および修正などの利用は自由、だが；•著作権者が提示する「条件」を遵守•例１：著作権者などの明示•例２：ライセンス文書の添付•例３：派生物を含めたソースコードの公開•例４：無償、免責無保証、権利者との個別契約不要■

ライセンスにあった使い方をしているか■製品やサービスなどのパッケージの「部品」として入っているものを把握できているか■

開発コミュニティの修正や改良による「変更」の内容を把握できているか

OpenChain Japan Work Group5

OSSライセンスに伴うリスク

オープンソースが流通する
ソフトウェアサプライチェーン
全過程で、リスク管理が必要

OpenChain Japan Work Group6

サプライチェーンにおけるOSSのライセンスリスク•未確認のOSSが、未知のライセンス違反リスクにつながる可能性•組織の管理体制の不備が、サプライチェーン全体の脆弱性

各組織のガバナンスとトレーサビリティの確保が、重要
スニペットなどで未知のOSSが混入するリスク有

Tier 2
OSSをどのように管理して良いかわからない

SoftwareSoftwareOSS

OSS

Tier 1
教育資料をアップデートするのが大変

製品にどんなOSSが含まれてるかわからないOEM
全てのサプライヤに教育することは困難

OpenChain Japan Work Group7

OpenChainプロジェクトの目的
役割 (mission)•OSSを含むソフトウェアを相互にやり取りする組織間における信頼構築に至る基準を提供する

目的 (vision)■

OSSが、信頼できる形式に整合したコンプライアンス情報とともに流通するサプライチェーンの実現

OpenChain Japan Work Group8

OpenChainプロジェクトの3つの柱仕様 (Specification)1.
••

企業が組織内に確立すべきコンプライアンスプログラム（仕組み・体制等）の要件を定義
ISO/IEC 5230:2020 として国際標準化 (2020年12月)

https://www.openchainproject.org/contribute-to-the-standard

適合 (Conformant)2.
■

自己認証の場合、仕様に関するWebアンケートに回答して適合を宣言できる。第三者認証も利用可。

日本語をはじめ、英語以外の言語での参考訳をコミュニティが提供

https://www.openchainproject.org/get-started/conformance

カリキュラム (Curriculum)

3.
■

仕様への適合のために各組織で利用可能な教育資料集

https://www.openchainproject.org/resources

OpenChain Japan Work Group9

適合のための認証
いずれの認証手段であっても、適合の扱いは同じ

自己認証

第三者認証

OpenChainプロジェクトWebサイトの質問を自己チェック
全て確認後、OpenChain事務局に連絡

Partner機関による認証

https://www.openchainproject.org/partners

OpenChain Japan Work Group10

OpenChain Spec. 2.1 >> ISO/IEC 5230:2020
国際標準化後、初の適合組織は「国内企業」から

https://www.iso.org/standard/81039.html

https://www.openchainproject.org/featured/2020/12/15/toyota-iso-5230

OpenChain Japan Work Group11

OpenChain Spec. 2.1 >> ISO/IEC 5230:2020国際標準化以降、企業活動が活発化
適合を宣言する組織
2020/12/01

トヨタ自動車2021/08/09

Sony Semiconductor

2020/12/15

NCSOFT

2021/08/19

QCT

2020/12/17

Cisco

2021/08/22

Coontec

2021/01/13

NTTデータ2021/09/07

Woven Planet

2021/02/01

Microsoft

2021/09/08

Synology

2021/02/08

日立製作所

2021/09/08

2021/03/02

LG

2022/02/14

KingbaseES V8 from
CETC Kingbase

2022/08/16

Hyundai Mobis

2022/08/16

Hyundai Autoever

2022/11/04

NAVER

2022/11/11

Fujitsu

2022/12/06

Google2023/03/31

Socionext

2023/Apr

China Mobile、Alibaba、
Cloudera、SAIC X-ONE、
ByteDance

2022/02/14

Tidb enterprise v4.0 from
PingCap

2022/03/17BlackBerry

2022/03/28

Revenera

SK Telecom

2022/03/28

SAP

2021/10/19

NEC

2022/04/06

TOSHIBA

ETRI

2022/05/24

ZTE

2022/07/13

Samsung SDS

2023/06/27

xFusion (100社目)

2021/04/22

Nanjing Fujitsu Nanda 2021/12/15
Software Technology
2022/01/24
Co., Ltd.
2022/01/24
Keitaro2022/08/01

KKCompany

2023/07/05

LINE

2021/07/07

Samsung Electronics

2022/08/16

Hyundai Motor Company

2021/07/13

Bosch

GBase 8a from
General Data
Technology Co., Ltd.
(GBASE)

2022/08/16

Kia

2021/04/06

2022/02/14

OpenChain Japan Work Group

KakaobankKakao

https://www.openchainproject.org/news
12

OpenChain Spec. 2.1 >> ISO/IEC 5230:2020
国際標準化以降、企業活動が活発化
OpenChainプラチナメンバー参加

OpenChainパートナー

2020/12/17

Ericsson2020/12/15

OSADL

2022/01/17

Fieldfisher

2021/08/17

HUAWEI

2020/12/17

日立ソリューションズ

2022/01/29

Marks and Clerk France

2022/02/09

NEC

2020/12/17

FOSSAare2022/03/28

TIMETOACT

2022/02/16

HONOR

2021/01/12

WhiteSource

2022/05/30

SECTREND

2022/03/08

BLOCK

2021/01/13

SeQuenX

2022/10/14

Witzel Erb Backu & Partner

2023/05/09

CARIAD2021/01/19

Synergon

2023/02/07

OSPOCO, Taylor English

2021/10/20

SCANOSS

2023/03/15

CESI

2021/10/28

CAICT

2023/05/30

NORDEMANN

2021/12/15

FOSSA

2023/06/22

Deloitte

2022/01/12

Onward Security

2022/01/17

Fieldfisher

OpenChain Japan Work Grouphttps://www.openchainproject.org/news
13

OpenChain Spec. 2.1 >> ISO/IEC 5230:2020適合を宣言する組織の例

https://www.openchainproject.org/community-of-conformance
OpenChain Japan Work Group14

プロジェクトのメンバー資格
プラチナ メンバー

Platinum Members•Linux Foundationの企業会員が参加できる•現在25社

コミュニティー メンバー■

ML、電話会議、ワークショップ等、誰でも参加できる

OpenChain Japan Work Group
15

活動体制
Governing Board & General Manager

Jimmy Ahlberg
Governing Board Chair

Shane Coughlan
General Manager

Platinum Members

Community■ Main Community:
https://lists.openchainproject.org/g/main■ Automotive Work Group:https://groups.io/g/openchain-automotive-work-group■ Tooling Work Group:https://groups.io/g/oss-based-compliance-tooling■ Telco Work Group:https://lists.openchainproject.org/g/telco■ Education Work Group:https://lists.openchainproject.org/g/education■ Specification Development Discussions:
https://lists.openchainproject.org/g/specification■ Partner Network:https://lists.openchainproject.org/g/partners

OpenChain Japan Work Group16

サポート体制
Partner Programによるサポート体制が拡充中

Law Firms

Service Providers

Vendors

Third-Party Certifiers

https://www.openchainproject.org/partners
OpenChain Japan Work Group17

ISO/IEC DIS 18974
OpenChain Security Assurance Speciﬁcation•企業が組織内に確立すべきセキュリティアシュアランスプログラム（仕組み・体制等）の要件を定義•OpenChain Spec と同様に自己認証、第三者認証により適合を宣言可能

https://www.openchainproject.org/

https://www.iso.org/standard/86450.html
OpenChain Japan Work Group18

最近の主な活動•各国語対応：マテリアルの翻訳や、共通したサーベイの実施•セキュリティアシュアランスへの展開 (2022年9月22日 1.0 リリース)※太枠はJapan-WG もコントリビューション

https://www.openchainproject.org/news
OpenChain Japan Work Group19

OpenChain Japan Work Group 設立•2017年8月以降、トヨタ、日立、ソニーの日本企業がOpenChainに加盟•日本でコンプライアンスの意識を高めよう！
•日本からアジアに向かってコンプライアンスの意識を高めよう！
•コンプライアンスに対する課題に関して情報交換しよう！
•日本語で議論が出来る場を設けよう！

•仲間作りが必要だよね！？コミュニティを作ろう！

Japan WGは、日本企業同士の、日本語によるコミュニティ

OpenChain Japan Work Group20

国内で活動しているSG••••••

Planning SGJapan WG全体活動プランの議論、全体会合の準備検討
FAQ SG
ライセンスに関するFAQを作成
教育 SG
ソフトウェア開発者向けやその他OSS関連教育資料の作成
SBOM SGSBOMに関するガイドラインやSPDXへの仕様提案、動向調査、共有
プロモーション SG
メディア・政府・産業界・学術界などと連携した啓発活動
オートメーション SG
OSS管理運用OSSの利用検討・推進
現在、以上7つのSGが中心に活動をしています。
興味があるSGがあれば、Webページより参加を検討ください。
21

2. Japan WG 教育サブグループについて22

2.1 活動概要
メンバ
ソニー、オリンパス、富士通、NEC、東芝、パナソニック、
サイバートラスト、日立
b. 活動状況オンライン会合(1回/月)での検討、作業 (2021/5～)
c. （最近の）成果(１) OSS教育教材の公開
a.

（サプライチェーンリスクマネージメント･バージョン)

・ライセンス基礎・ライセンス応用(仮称)(２) OSS教育の各社課題/事例の情報共有232.2 OSS教育資料作成の提案◆教育SGの現状
OpenChainは、 OSSのコンプライアンスプログラムを組織が構築するための指針を整備しているプロジェクトである。
ソフトウェアのサプライチェーンの中で活動する人々が各組織内に確立すべきコンプライアンスプログラムの要件をOpenChain仕様として定義し、各組織がそれらを確立するための支援している。
教育SGでは、それぞれの企業において、OpenChain仕様に準じた教育コンテンツを作成する場合の一助として、OSS教育資料(コンプライアンスプログラム･バージョン)を公開している（2020/5）。
・日本語、マークダウン版
https://github.com/OpenChain-Project/OpenChain-JWG/tree/master/Education_Material/Training/chapters

・日本語、パワーポイント版
https://github.com/OpenChain-Project/OpenChain-JWG/blob/master/Education_Material/Training/Training-OSS-compl-process-jp-42.pptx

24

2.2 OSS教育資料作成の提案◆教育SGにおける課題
公開済みのOSS教育資料(コンプライアンスプログラム･バージョン)は、OpenChainに準じた形で、コンプライアンス関連(ポリシー、プロセス)に特化している。

⇒【拡充が必要では？】
例えば、各社の教育資料にするには、”OSSとは”、”OSSの必要性”、”EOL”、 ”脆弱性”、”知的財産(第三者特許の無保証、自社特許の無償実施許諾)”等の項目が必要！
※Planning SGからも、”EOL”、 ”脆弱性”他追加の要望あり。
25

2.2 OSS教育資料作成の提案■ OSS教育コンテンツに関する各社現状と課題● 新規にコンテンツを作成する場合、多大な工数がかかる。
● サプライチェーンには、大企業、中小企業、SIビジネス企業、製品製造ビジネス企業などバラエティに富んでおり、OSSの利活用レベル/教育レベルも様々。

26

2.2 OSS教育資料作成の提案■ 方針
前記課題解決に向け、教育コンテンツをオープンなコミュニティで開発する。各社連携して開発することで、コミュニティの力を活かし、ビジネスにリアルに役立つ教育コンテンツが提供できる。
●コミュニティの中で各社の賛同を得て、各社の教育コンテンツのうちオープンにできる箇所を持ち寄り、コンテンツ開発を行う。

27

2.2 OSS教育資料作成の提案■ 合意のもと、どのような教育コンテンツを作るか？を議論。
下記候補について検討し、(b)が共通の必要性や多くの賛同が得られたので、(b)について目次、概要の纏めをスタート！
(a)コミュニティ活動向け教育資料(b)ソフトウェア開発委託先向け教育資料※開発委託先の教育に社外秘の教育資料を使えない(c)インナーソース向け教育資料
OpenChainのカリキュラムやリーフレットを参考に、メンバーの意見を取り入れて目次、概要を纏めた。
28

3. 教育資料の紹介

29

3.1 作成プロセス

各社の教育章、節のタイトルを事例として提示⇒概要について検討、議論● 基礎的なもの● 応用・実務的なものに分類

基礎編・応用編の２つの教材を作成する事とした30

3.2 基礎編（「ライセンス基礎」）の概要

OSS教育資料(サプライチェーンリスクマネジメント･バージョン)「ライセンス基礎」の紹介
pptxファイル版をOpenChain Japan WG のGitHubで公開中
OpenChain-JWG/Education_Material/Training at master · OpenChain-Project/OpenChain-JWG · GitHub
313.2 「ライセンス基礎」の概要
章立て
1. OSSと知的財産権の基礎
2. OSSライセンスの基礎
3. ライセンス違反の事例
4. OSS採用時の検討事項
5. 受発注時のライセンス情報の提供

32

3.2 「ライセンス基礎」の概要
どうぞ、ご活用ください。
皆さんからのご指摘、ご意見等、大歓迎です。
活用している各社のコメント
A社：ライセンス基礎を社内教育に活用。コメントのフィーバック中。
英語版を作成。別途レビュー予定。
B社：合弁会社の教育用に紹介。
C社：開発委託先向けの教育に活用中。

33

3.3 応用編の概要

OSS教育資料(サプライチェーンリスクマネジメント･バージョン)「ライセンス応用」（仮称）の紹介
現在、教育SGで作成・レビュー中
OpenChain Japan WG のGitHubで公開予定 Coming Soon!
34

3.3 「ライセンス応用」(仮称)の概要
章立て
1. OSSライセンスの調査
2. ライセンス義務の履行
3. SBOM
4. OSSのセキュリティリスクへの対応

35

3.3 「ライセンス応用」(仮称)の概要
1章 OSSライセンスの調査
1.1 導入Q&A
1.2 ライセンスの調査
1.3 ライブラリ等のライセンスも確認
1.4 ライセンスの記載例
1.5 複数のライセンスが記載されているケース
1.6 Web掲載のライセンスで誤認(バージョン)
1.7 OSS、ライセンスのリスト化

36

3.3 「ライセンス応用」(仮称)の概要
2章 ライセンス義務の履行
2.1 導入Q&A
2.2 ライセンス遵守作業の概要
2.3 ソースコード提供
2.4 提供するソースコードの準備
2.5 提供方法の選択
2.6 提供の実施
2.7 リバースエンジニアリングの許可
2.8 必須文言（著作権表示他）を製品のドキュメントに掲載する
2.9 製品のドキュメントにライセンス条文を掲載する
2.10 謝辞を掲載する
2.11 謝辞を広告媒体に掲載する
37

3.3 「ライセンス応用」(仮称)の概要
3章 SBOM3.1 ソフトウェアの構成を知る
3.2 SBOMを取得する方法
3.3 SBOMで扱う管理項目
3.4 SBOMのフォーマット
3.5 SBOMを管理するためのベストプラクティス
3.6 ケーススタディ、事例
3.7 発展的な話題

38

3.3 「ライセンス応用」(仮称)の概要
4章 OSSのセキュリティリスクへの対応
4.1 はじめに4.2 OSSのセキュリティリスクの種類
4.3 OSSのセキュリティリスクを発見する方法
4.4 OSSのセキュリティリスク対応
4.5 OSSのセキュリティリスク対策・予防
4.6 OSSのセキュリティリスクを管理するためのベストプラクティス
4.7 動向、レポート、ケーススタディ
4.8 OSSセキュリティに役立てられるリソース（オンラインコミュニティ、トレーニングなど）
4.9 ソースソフトウェアのセキュリティに関連する実践的なヒント、Tips、法律、慣例など
4.10 その他
39

4. 今後の活動

40

4 今後の活動テーマの検討
各社のOSS教育の課題・対応の事例を検討する事により、今後の教育SGの活動テーマの検討に繋げていく予定。

41

5. 最後に

42

サマリ
OpenChain JWG 教育SGでOSSの教育資料を作りました。

• コンプライアンスプログラム･バージョン（公開中）• サプライチェーンリスクマネジメント･バージョン• ライセンス基礎（公開中）• ライセンス応用（仮称）（鋭意作成中！）
ぜひご活用ください。

43

5. 最後に教育SGは、毎月1回の活動を行っています。
••

OSSの教育資料作成に関わりたい方
社内のOSS教育の参考にしたい方

一緒に活動を行いませんか？
連絡は当方（小泉、米嶋）まで、あるいは Slack よりご参加ください！

ご清聴ありがとうございました。
44

以上

45

リンク集
• OpenChain Project• https://www.openchainproject.org/• OpenChain Japan Work Group (JWG)• https://openchain-project.github.io/OpenChain-JWG/• OSS教育資料• コンプライアンスプログラム･バージョン•••

マークダウン版
パワーポイント版

サプライチェーンリスクマネジメント･バージョン••

ライセンス基礎
ライセンス応用（仮称） （githubにて公開予定）

46