FossIDとの統合により、C/C++アプリケーションにも開発者優先のセキュリティを拡大

FossIDの買収を発表できることをうれしく思います。C/C++のサポートを強化し、ライセンスコンプライアンスを向上させることで、Snykの開発者優先のセキュリティ機能を拡充します。

Snykは創業以来、開発者がアプリケーションを安全に開発できるよう支援し、テクノロジー主導の企業に求められるスピードと規模を実現することを目指してきました。世界中の200万人を超える開発者が、開発プロセス全体にSnykを組み込んで安全にソフトウェアを構築しています。また、セキュリティチームは、Snykが提供する可視性、精度、制御性を活用して、リスクを効果的に管理・軽減しています。

FossIDの買収により、Snykはこのビジョンの実現を加速します。FossIDのオープンソースコンプライアンスおよびセキュリティ機能を活用する開発チームに、開発者優先のセキュリティを提供し、あらゆる環境でC/C++のライセンスコンプライアンスを強化するSnyk Open Sourceの機能を拡充します。

C/C++開発のモダナイゼーション

ハードウェアを直接扱えることから、CとC++は、効率性とパフォーマンスの最適化が求められるリソース制約のあるシステムで、今も広く使われています。現在、世界中で約630万人の開発者がC/C++を使ってアプリケーションを構築しており、その用途は金融・銀行アプリケーション、組み込み・IoT、ゲーム、データベース、レガシーなエンタープライズアプリケーションなど多岐にわたります。

他のプログラミング言語と同様に、CとC++も誕生以来進化を続けてきました。デジタルトランスフォーメーションや、最新のソフトウェア構築手法への移行により、再現性が高く、高速かつ安全なデプロイを実現するビルドプロセスと開発ツールの必要性が、いっそう明らかになっています。

C/C++を使う開発チームがDevOpsやアジャイルプロセスを導入し、アプリケーションの構築方法をモダナイズしている様子を見るのは、とても興味深いことです。Clang、CMake、Conanなどのプロジェクトを活用して、ビルドプロセスやパッケージ管理をより細かく制御するケースが増えています。また、Visual Studio、VScode、JetBrainsのRiderなどのIDEを使い、より迅速に高品質なコードを提供しています。

C/C++開発者がコードを安全に保護できるよう支援

しかし、変化は簡単ではありません。特に、半世紀近く前に誕生したプログラミング言語ではなおさらです。2020年のC++コミュニティ調査によると、ビルド時間（42%）、継続的インテグレーションパイプラインの設定（32%）、ライブラリ管理（47%）は、依然として大きな課題です。セキュリティも大きな課題であり、調査回答者の半数以上が、言語に内在する安全性の問題やセキュリティ脆弱性を懸念しています。

DevOps、特にDevSecOpsでは、セキュリティの自動化と開発ワークフローへのより緊密な統合が求められます。しかし、これらの原則をC/C++の世界に適用するのは簡単ではありません。C/C++開発チームは、大量のレガシーコードを含むコードベースに直面しています。通常、使用するオープンソースパッケージを宣言する新しいWeb系言語とは異なり、C/C++アプリでは、ほとんどのオープンソースコードが宣言されないまま、コードやバイナリをアプリに直接埋め込む形で利用されています。そのため、オープンソースの使用状況を特定・管理するのが困難です。

C/C++に内在するセキュリティ上の課題に加え、既存のセキュリティソリューションは開発者向けに設計されておらず、開発ツールやプロセスとの統合も不十分です。さらに、スキャンの遅さや不正確な結果が開発の妨げとなり、開発者の導入を阻んでいます。技術的負債、埋め込み型のオープンソース、開発者向けに設計されていないツールが重なり、C/C++で安全なコードを書くことは、これまで決して容易ではありませんでした。

しかし、Snykは創業当初から、最高水準の開発者体験とセキュリティの専門知識を提供することで、開発者がセキュリティに主体的に取り組めるよう支援することを目指してきました。FossIDのテクノロジーを統合することで、開発者優先のアプローチをC/C++開発者にも広げ、この開発エコシステムのモダナイゼーションを支援できます。

ライセンスコンプライアンス管理を簡素化

C/C++は組み込みアプリで広く使われているプログラミング言語です。こうしたアプリは物理的な製品として出荷され、アップデートも難しいため、オープンソースのライセンスコンプライアンスが特に重要です。そのため、より詳細な監査と高精度なインベントリ追跡が必要になることも少なくありません。多くの組織では、ライブラリの使用状況だけでなく、開発者がライセンス上の制約を知らずにコードに貼り付けたコードスニペットまで、精査する必要があります。

セキュリティ脆弱性と同様に、こうしたライセンス上の問題を早期に特定して防ぐことで、作業時間を大幅に削減し、法的リスクを軽減できます。また、セキュリティと同じく、早期検出を実現するには、単にテストを早い段階で実行するだけでは不十分で、開発者自身が実行できる環境を整える必要があります。FossIDは、顧客のニーズに応じてアプリケーションを詳細に検査できる、高速かつ高精度な強力なライセンスコンプライアンスエンジンを開発しました。これをSnykの開発者優先のアプローチと組み合わせることで、開発サイクルへの影響を抑えながら大規模に運用し、お客様が求める高いコンプライアンス基準を達成できるよう支援します。

FossIDのテクノロジーをSnykに統合

FossIDはスウェーデンを拠点とする企業です。オープンソースを活用する企業の法的リスクとセキュリティリスクを最小限に抑える技術ソリューションの構築を目指す、優れた起業家チームによって2016年に設立されました。

FossIDの画期的な分析・検出テクノロジーは、現在、世界中の数百社で活用されており、企業がオープンソースを安全かつコンプライアンスに準拠した形でアプリケーション構築に利用できるよう支援しています。FossIDの主な機能は次のとおりです。

• コードスニペットを含む未宣言のソースコードにも対応し、あらゆる形式のオープンソースソフトウェアに潜む脆弱性を特定できます。

• 世界中の既知のオープンソースリポジトリから機械的に収集した、2PBを超えるソースコードに相当する情報を含む包括的なナレッジベース。

• AIを活用した分析により誤検出を自動的に排除し、手作業での後処理を削減します。

FossIDのテクノロジーをSnykのプラットフォームに統合することで、ソフトウェア構成分析機能を拡張し、C/C++チームをより強力に支援するとともに、ライセンスコンプライアンスを強化します。FossIDのテクノロジーがSnykに統合されるのを楽しみにしています。この統合により、世界中のより多くの開発チームがコードの安全性確保に取り組めるようになると確信しています。

FossIDの皆さん、Snykファミリーへようこそ！