【MTG】
OSSのセキュリティ・ライセンスリスクを回避してOSSを有効活用するには2020年10月23日(金) 12:00~12:45
NEC 先端SI技術開発本部 OSS推進センター
米嶋 大志

1

© NEC Corporation 2020

0. はじめに自己紹介

名前:米嶋 大志
会社:NEC（新卒、6年目）
部署:OSS推進センター
担当業務:社内へのOSS活用促進:BlackDuckの製品担当
4© NEC Corporation 2020

Q.1)OSSライセンスが許諾しているのはどの場面か?
OSSライセンス
OSS

第三者

ベン
ダ

利活
用者

2.修正・改変
3.コンパイル・実行

使用

利用

ライセンス不要で使用できる

5

1. 入手

2. 修正・改変

3. 実行

4. 頒布

© NEC Corporation 2020

5. その他

ライセンス条件に従って、第三者へ提供
A. ４

Q.2)OSSを選定するにあたって、適切なパッケージ選択は?
前提• OSはRHEL 7.8• 顧客環境に構築するWebアプリケーション(3年予定)、選定を頼まれている• Apache Tomcat の選定• コミュニティが提供しているVer.は10.0(α版)系、9.0系、8.5系、7.0系(6.5未満は既にEoL)• RHELのBaseリポジトリには、コアパッケージに含まれる7.0系が提供
1. コミュニティ版10.0(α版)系の最新Ver.
2. コミュニティ版9.0系の最新Ver.
3. コミュニティ版9.0系、8.5系、7.0系の各最新版ならどれでも良い
4. 最新版ではないがRHELリポジトリに含まれるパッケージ
5. その他
6© NEC Corporation 2020

A. ４＞2 > 3 、 1

今日のゴール

1. OSSにはリスクがあることの理解
2. そのリスクをコントロールして、社内で活用を促進できるよう体制を考える@. NECのソリューションを理解していただく

7© NEC Corporation 2020

目次

0. はじめに（←いま）
1. 一般的なOSSのリスクとは
2. 社内のOSS管理について考えてみる
3. NECがご支援できるソリューション紹介+BlackDuckのデモ

8© NEC Corporation 2020

プロファイル

9

社名

NEC（商号:日本電気株式会社 英文: NEC Corporation)

本社

東京都港区芝五丁目7番1号
Tel: 03-3454-1111

創立

1899年(明治32年)7月17日

代表取締役

執行役員社⾧ 兼 CEO 新野 隆
執行役員副社⾧兼 CFO 森田 隆之

資本金3,972億円 (2020年3月末現在)

売上収益

2019年度実績
単独 1兆7,897億円 連結 3兆952億円

グループ主要事業

社会公共、社会基盤、エンタープライズ、ネットワークサービス、システムプラットフォーム、グローバル

従業員数

単独 20,125名(2020年3月末現在)
連結 112,638名(2020年3月末現在)

会社数

連結子会社 300社(2020年3月末現在)© NEC Corporation 2020

地図

OSS推進センター 社内での役割
社⾧

取締役会

先端SI技術開発本部

クロスインダストリーユニット
グローバルビジネスユニット
RHQ（地域統括会社）
社会公共ビジネスユニット
支社・支店

横…

断…

的な

社会基盤ビジネスユニット

O

エンタープライズビジネスユニット

Sネットワークサービスビジネスユニット

S

デジタルビジネスプラットフォームユニット

活システムプラットフォームビジネスユニット

用ビジネスイノベーションユニット

推研究開発ユニット

進

コーポレート(2020年4月1日現在)
10© NEC Corporation 2020

OSS推進センター

OSS推進センター活動内容

OSS全社 啓発 普及

ＯＳＳを安全に活用するための 社内ルール・基盤・情報を整備
ＳＩ・製品事業におけるＯＳＳ活用を支援

コミュニティ活動

ＯＳＳコミュニティの 活性化・健全化への貢献

OSSサポート事業

サポートサービス提供で 安心なＯＳＳ環境 をお客様に提供
先進ＯＳＳ技術のＳＩ適用加速

Linux事業

11© NEC Corporation 2020

安全・安心な Linux環境とサポートサービス の提供
DX、ICTモダナイゼーションを支える

1. 一般的なOSSのリスクとは

多様な製品・サービスで活用されるOSS
 多くのメリットがあり、多様な事業セグメントでOSSの活用が拡大 今や利用しないことが競争力欠如につながる状況
信頼性の高い既存の技術の利用
技術イノベーションへのいち早い取り組み

入手が容易
早い不具合対応
開発速度(コミュニティ)OSS利用のメリット
ベンダロックインの回避

初期導入コストの削減

カスタマイズに対する柔軟性業界標準への対応

NECもすべての事業セグメントで活用▌ システムプラットフォーム▌ パブリック▌ エンタープライズ
13© NEC Corporation 2020

▌ テレコムキャリア▌ その他

OSSにおけるリスクとは広がるOSS利用と課題

 利用が広がる一方で、課題も顕在化。
対応しきれていないケースが多数存在。

 OSS利用に精通した人材不足
 現場判断で不用意に利用され、把握・管理不足

主に問題となりうる要素

14① OSSライセンス違反

GPLなどOSSライセンスに違反した状態で利用。
（著作権侵害＝コンプライアンス問題）② セキュリティ脆弱性

脆弱性の存在、新規発覚を把握できず、対策遅れ。
（情報セキュリティ事故、情報漏洩）③ メンテナンス不備

開発が終了したバージョンや活発でないOSSを採用。
（バグ放置、障害の原因）© NEC Corporation 2020

（参考）CVEレポートの推移

CVE (Common Vulnerabilities and Exposures):共通脆弱性識別子

2012-2019年公開脆弱性(CVE)
18000
16000
14000
12000
10000
8000
6000
4000
2000
0
2012

2013

2014

2015

2016

201720182019※統計情報 CVE Details https://www.cvedetails.com/

15© NEC Corporation 2020

（参考） 2019年実績:OSSライセンス、脆弱性の状況

2019年
監査データ分析99%

44%

そのうちGPL(GeneralPublic License)違反にある監査したコードベースにOSSコンポーネントが含まれている70%

監査したコードベース全体のオープンソースが占めていた割合

出典: 2020 Open Source Security and Risk Analysis (OSSRA) Report（2020年5月公開）
https://www.synopsys.com/software-integrity/resources/analyst-reports/2020-open-source-security-risk-analysis.html
16© NEC Corporation 2020

OSSコンプライアンスへの関心の高まり
Linux Foundation
https://www.linuxfoundation.jp/resources/open-source-guides/

OpenChainhttps://www.openchainproject.org/ja/

17© NEC Corporation 2020

OSSライセンス違反(疑い)事例①掲示板等で指摘
携帯音楽プレーヤールータ
ゲームソフト…

損害 製品出荷停止 ブランド低下

出展:Srad.jp
Engadget 日本版 より抜粋

損害

②GPL違反訴訟

無線ルータ
無線ルータ
HDテレビ、ルータ等…

出展:ITmedia エンタープライズ
OSDN magazine
Software Freedom Conservancy より抜粋

18

© NEC Corporation 2020

 賠償・訴訟費用(W社例:14万ドル)

 販売停止 自社コード開示 ブランド低下

OSS脆弱性に起因する情報漏洩事例① 2014/04 Ｍ社:OpenSSLの脆弱性を突かれ不正アクセス② 2017/03 G社等:Apache Strutsの脆弱性を突かれ不正アクセス
いずれも脆弱性対応の遅れ・漏れが原因①

日本で初「Heartbleed」の悪用
顧客情報の漏えい②

出展:Itmediaエンタープライズ
日経Itpro より抜粋
19

© NEC Corporation 2020

都税クレジットカードお支払サイト、サイト、住宅金融支援機構、日本貿易振興機構（JETRO）、日本郵便、ニッポン放送など、脆弱性発覚後10日程度で7組織、計約72万件以上の個人情報が流出

Apache Sturuts2の実例でみるタイムライン▌2017年3月に公開されたApache Struts2の脆弱性（CVE-2017-5638）
都税クレジットカードお支払サイト,住宅金融支援機構（GMOペイメ
ントゲートウェイ運営）,日本貿易振興機構（JETRO）, 日本郵便,ニッポン放送など3/17までに7組織、計約72万件の個人情報が流出。
Apache Foundationが脆弱性情報を公開

2012年

2017年

IPAからの注意喚起情報

3/6(月)

3/7(火)
PoC（攻撃コード）が一般公開される

コードのバグが混入

 個人補償費

3/8(水)
国内のサイトを標的とした攻撃が発生

3/11(土)
NVDで脆弱性情報公開

攻撃リスク(②G社推定:1件500円×72万件＝ 3.6億円)

 サービス停止
 ブランド低下
http://tech.nikkeibp.co.jp/it/atcl/column/14/346926/032100893/
20© NEC Corporation 2020

2. 社内のOSS管理体制について考えてみる

社内のOSS管理体制について考えてみる

Q OSSを使ったパッケージ・製品を販売している?
Q 社内にOSSに関する専属組織・相談窓口がある?
Q 社内にはOSSに関するガイドラインが整備されている?
Q 知財・法務との連携はどうなっている?

22© NEC Corporation 2020

OSSコンプライアンス活動 拡大時のポイント 2019/12
OpenChain NEC会合資料より

23

会社名 NECWiki掲載

OK / NG

記載者 OSS推進センター 米嶋 大志

記載日2019/12/11

現状

組織

専属組織あり / バーチャル or コミュニティ型 / 担当者レベル / Alone

記載日
時点

人数

100人以上 / 数十人 / 10～20名程度 / 数名 / ひとり / ゼロ

時期FY2001FY2012～2014

FY2019FY2012以前

FY2014～2019

FY2001
前身組織結成。Enterprise Linuxに向けた取り組みをスタート

FY2014NECグループ横断の活用推進TFを立ち上げ
社内で「推奨OSS」を定義
OSS活用情報を集めたポータルの運用も開始

FY2001～2011
基本自社製品、OSSは必要がなければ使わない時代
お客様の要望ベースでOSSの提案
FY2012
法務・品推と共に社内ガイドラインを初発行

FY2015
積極的なOSS推進を主眼とした文書の発行を開始
FY2018-19
OSSの活用フェーズ毎のリスクを見直し
社内でフローをプロセス化＆システム化

CC-BY-ND-4.0

24@. NECのソリューションを理解していただくBlack Duckが提供する主な機能

1. OSSスキャン&リスト化
膨大なKBを基OSSコンポーネントを認識
2. リスク情報の紐付け
ライセンス・セキュリティ・運用のリスクを可視化
3. 対応・修正状況の管理
ポリシーを管理し、違反への早期対応が可能
4. モニタ・アラート機能
最新の脆弱性をウォッチし、アラートを発信!
25© NEC Corporation 2020

顧客課題を解決する要素とNECの強み

ツール機能

OSSスキャン&リスト化

リスク情報の紐付け

対応・修正状況の管理

モニタ・アラート機能

トータルソリューション提案力
NEC強み

活用ノウハウOSSライセンスコンサル

26© NEC Corporation 2020

 HW・OS・AP一気通貫サポートのトータルソリューション
シェア国内トップクラス
 自社でのBlack Duck活用実績(10年以上)
 高品質のサポート＋導入支援、解析支援 ネットに散在する都市伝説に惑わされないOSS
ライセンスの正しい理解、正しい判断ができる組織育成を支援。

NECとシノプシスのパートナーシップ
 NEC社内活用と外販の両輪で10年以上に渡る協業(※)
 DXを支えるOSS活用ソリューションの提供で引き続き連携（※）Black Duck Software時代を含む

外販

Black Duck外販、OSS活用ソリューション提供

Black Duck Suite外販、コンサル・解析支援提供「OSS利活用プロセス」

社内活用でノウハウを蓄積、安心のお客様向けサポート、実績あるソリューション提供へ

Protex

外販契約
全社ソフトウェア開発
管理基盤

Protex2007年
27

コード検証・脆弱性検知ツールとして全社展開

自社導入契約© NEC Corporation 2020

シノプシスとのパートナー契約締結、Black Duck導入「SWファクトリ」

コード検証サービス化

2020年

NEC社内活用お問い合わせNEC OSS推進センター•Black Duck担当–E-Mail : blackduck-info@osspf.jp.nec.com

28© NEC Corporation 2020

(参考)iPhoneでOSSライセンスを確認してみる
お使いのiPhoneからも、OSSに関する情報を確認できます。
「設定」→「一般」→「法律に基づく情報および認証」→「法律に基づく情報」

29© NEC Corporation 2020