2017年オープンソースセキュリティの現状レポートを発表

新しい オープンソースセキュリティレポート 2020 このレポートでは、2020年のオープンソースセキュリティに関する懸念や、パッケージとコンテナイメージにおける脆弱性の傾向を取り上げています。

本日、2017年オープンソースセキュリティの現状レポートを公開しました！レポート全文は無料のPDFでダウンロードできます。

オープンソースは素晴らしく、急速に普及しています。アプリケーションにオープンソースを活用する企業が増えるほど、私たちが開発・利用するコンポーネントの安全性を確保することが重要になります。オープンソースセキュリティの現状レポートでは、オープンソースセキュリティを取り巻く状況を俯瞰し、現状と、今後さらに安全性を高めるためにできることを掘り下げています。

このレポートは、昨年9月に500人以上のオープンソースユーザーとメンテナーを対象に実施したアンケート（回答してくださった皆さまに心より感謝します！）、4万件以上のプロジェクトに基づくSnykの社内データ、Red Hat Linuxが公開している情報、さらにレジストリ上の数百万件のGitHubリポジトリとパッケージをスキャンして収集したデータをもとに作成しました。素晴らしいSparkboxの皆さんと協力し、美しいウェブサイトとPDFにまとめました。

レポートでは、興味深い知見が数多く明らかになりました。たとえば、次のことをご存じでしたか？

• オープンソースライブラリの脆弱性は2016年に53.8%増加した一方、Red Hat Linuxの脆弱性は減少しました。

• パッケージの脆弱性が最初に作り込まれてから公表されるまでの期間は中央値で2.5年ですが、公表から修正プログラムのリリースまでは中央値でわずか16日です。

• オープンソースのメンテナーの79.5%が、一般に公開する脆弱性開示ポリシーを設けていないと回答しました。ポリシーを設けているメンテナーは、脆弱性を非公開で通知される可能性が3倍以上高くなっています。

• 調査した43万3,000件のサイトのうち、77%で、既知のセキュリティ脆弱性を持つクライアントサイドJavaScriptライブラリが少なくとも1つ使われていました。

レポートの結論でも述べているように、オープンソースのセキュリティ確保は一朝一夕に実現できるものではありません。しかし、私たち全員が力を合わせ、小さな一歩を積み重ねてセキュリティ態勢を改善すれば、オープンソースセキュリティの現状をより良くできます。そして、その過程で、活気に満ちた豊かなエコシステムを守ることにもつながります。