いまやオープンソースソフトウェア(OSS)は、クラウドネイティブなアプリケーションの開発に欠かせない要素であることは言うまでもないだろう。OSSのおかげで開発者は、同じものを一から作り直すことなく、いち早くスタートを切ることができるようになった。
しかし一方、OSSに脆弱性が含まれることは珍しくなく、パッケージ、パッケージマネージャ、パッケージレジストリが含まれたOSSは、リスクの温床にもなるのも事実だ。また、こうしたリスクに対処する方法として、Software Composition Analysis(SCA)を利用してオープンソースの脆弱性とライセンスのコンプライアンスをスキャンする機能を実装できるものの、すべてのSCAプロバイダが同じ機能を備えているわけではない。
こうした背景を踏まえて本資料では、SCAプロバイダを評価する際に留意すべき6つの主要基準についてのチェックリストを紹介している。これを活用すれば、可能な限り包括的かつ実用的なオープンソースセキュリティを確保できるようになるはずだ。
ホワイトペーパー