OSS（オープンソースソフトウェア）を活用する際の注意点は、脆弱性対応の責任は利用者にあること、脆弱性が発生しない保証はないこと、定期的な脆弱性チェックが必要であることの3つです。
- OSSの利用で求められる脆弱性対応
ソースコードが公開されている以上、悪意ある第三者による解析・攻撃のリスクは避けられないため、「誰かが修正してくれる」と期待せず自社で脆弱性の有無を確認する姿勢が不可欠です。 - 脆弱性が発生しない保証はない
Log4jの事例では、2021年の脆弱性報告後も2022年1月に新たな脆弱性が発見されており、一度対策しても新たなリスクが生まれ続けます。 - 定期的な脆弱性チェックが有効
脆弱性診断の実施、配布元の最新情報の確認、CVE・NVDなどの脆弱性情報データベースのチェックの3つを継続的に行う必要があります。
OSSの脆弱性はLog4jのように発覚後も新たな問題が連鎖的に見つかるケースが多いため、一度きりの対策ではなく継続的な監視・更新体制の構築が求められます。
具体的な注意点については「OSS活用における3つの注意点」をご覧ください。
