Software)日本法人は2017年5月19日、同社が監査を請け負ったユーザーの実例をベースに、2016年におけるOSSの利用状況と、OSSのセキュリティ脆弱性の現状を報告した。業務システムへの採用が広がっているOSSだが、そこに含まれる脆弱性は年々増えており、注意が必要だ。「ユーザー企業が構築した業務アプリケーションの67%に、既知のセキュリティ脆弱性を含んだオープンソースソフトウェア(OSS)が含まれている。1つの業務アプリケーションに含まれるOSSの脆弱性は27個に上る。OSSに含まれる脆弱性は年々増えており、注意が必要だ」──。Softwareは、企業におけるOSSの利用状況を調べるソフトや監査サービスを提供しているベンダーである。ユーザー企業が構築した業務アプリケーションに含まれているOSSのコードを特定し、OSSに既知のセキュリティ脆弱性が残っているかを調べられる。日本法人のブラック・ダック・ソフトウェアは2017年5月19日、同社が監査を請け負ったユーザーの実例をベースに、2016年におけるOSSの利用状況と、OSSのセキュリティ脆弱性の現状を報告した。2016年の1年間に、15業種440社の1071件に及ぶ業務アプリケーションを監査した。2017)』として公開している(URLは、https://www.blackducksoftware.com/open-source-security-risk-analysis-2017)。使っているOSSの過半数は、OSSとは知らずに使っている統計では、業務アプリケーション1071件のうち、96%にOSSが含まれている。67%は、既知のセキュリティ脆弱性を含んだOSSを使っている。52%は、「深刻」な脆弱性を含んでいる。1つの業務アプリケーションに含まれるOSSの脆弱性は平均して27件に上る。Fosnick)氏1つの業務アプリケーションに含まれるOSSのコンポーネントは、平均して147件。ユーザーが存在を把握しているコンポーネントは45%のみで、残りの55%はOSSを使っているという認識を持つことなく使っている。「把握している数と、実際の使用状況が異なっている。ユーザーは、知らずにOSSを使っている」(同社)。業種によって脆弱性の傾向は異なる。深刻な脆弱性を最も含んでいる業界は小売業&電子商取引であり、同業界のアプリケーションの83%が深刻な脆弱性を含んでいる。1つのアプリケーション当たりの脆弱性の数が最も多い業界は、金融サービス&フィンテックの52.5件である。Strutsで3.9%などである。使われているOSSコンポーネントはjQueryで、業務アプリケーションの57.9%が利用している。v.2.6.27.7は293個の脆弱性を持ち、このうち73個は深刻な脆弱性である。目指すべきID起点のゼロトラストとは?未知の脅威をほぼ100%検出/排除。最新「ソフトウェアサプライチェーン攻撃」の手口とその防ぎ方とは?ワークプレイスでの生成AI活用の“現実解”あるべきクライアント環境、求められる要件とは生成AIがビジネスコンテキストを理解し、プロセス改善を提案。10の寿命は残り1年半。人材不足解消の鍵はノーコード活用、データ連携とAI/IoTで真のハイパーオートメーションの実現をDX支援のための先進技術は自社を“実験場”に─データ仮想化や生成AIの意義と効果とは?ハイブリッドワークで浮上した会議の不平等性。Leadersの会員限定公開記事を読むことができます。Libraryもご利用いただけます。目指すべきID起点のゼロトラストとは?未知の脅威をほぼ100%検出/排除。最新「ソフトウェアサプライチェーン攻撃」の手口とその防ぎ方とは?ワークプレイスでの生成AI活用の“現実解”あるべきクライアント環境、求められる要件とは生成AIがビジネスコンテキストを理解し、プロセス改善を提案。10の寿命は残り1年半。人材不足解消の鍵はノーコード活用、データ連携とAI/IoTで真のハイパーオートメーションの実現をDX支援のための先進技術は自社を“実験場”に─データ仮想化や生成AIの意義と効果とは?ハイブリッドワークで浮上した会議の不平等性。脱却し、プロセス変革を遂げるために何をなすべきか。最新動向を中心にプロセスマイニングの実践のさまをお届けする。ご所属のお客様でも、ご所属企業(または団体)におけるIT化を推進されるお立場の方にもお読みいただけます。Software)日本法人は2017年5月19日、同社が監査を請け負ったユーザーの実例をベースに、2016年におけるOSSの利用状況と、OSSのセキュリティ脆弱性の現状を報告した。業務システムへの採用が広がっているOSSだが、そこに含まれる脆弱性は年々増えており、注意が必要だ。