開発者ファーストのライセンスコンプライアンス管理を発表

開発のスピードを維持しながら、コードで使用するオープンソースライセンスにも準拠できるよう支援する、Snykの開発者ファーストのライセンスコンプライアンス管理ソリューションを発表します。

オープンソースソフトウェアは、実際には完全に無料というわけではありません。ガバナンスなしで利用すると、組織に大きな代償をもたらす可能性があります。コードに取り込んだオープンソースの依存関係を確認しないままにすると、セキュリティの脆弱性だけでなく、ライセンスコンプライアンス上の問題にもさらされます。

この両方の課題を解決し、組織がこうしたリスクを効果的に最小限に抑えられるよう、両面を包括的にカバーする機能を提供することになりました。

ライセンスコンプライアンスについて学べるライブウェビナーにご参加ください。

シフトレフトだけでは不十分

現在、ほぼすべてのアプリケーション（実際には、Gartnerによる2019年の調査では96%）がオープンソースコンポーネントに依存しています。その大半には、ライセンスという形で法的条件が定められています。これらの条件を遵守しなければ、多額の罰金や訴訟、評判の毀損につながる可能性があります。そのため、オープンソースライセンスの管理は、開発、セキュリティ、コンプライアンスの各チームにとって最優先事項となっています。

それでも、多くの組織が、この新たな優先事項と、迅速な開発を求めるビジネス上のニーズとの両立に苦労しています。既存のソリューションは、ソフトウェアライセンスのコンプライアンスを開発の早い段階に移すことを支援すると謳っていますが、実際には現代の開発手法と相容れません。Gitベースのワークフローとうまく連携せず、開発ライフサイクルのかなり後になってから適用されるうえ、手作業で柔軟性に欠けるプロセスを必要とします。こうしたソリューションは、開発者に負担をかけ、開発を遅らせるため、十分に定着しません。本番環境にアプリケーションをデプロイした後で、オープンソースライセンスに違反していると判明することなど、誰も望んでいません。

ソフトウェアの構築にどのオープンソースを使うかを最終的に決めるのは開発者です。だからこそ、ライセンスコンプライアンスを実現するには、開発者が負担なく取り組めるようにする必要があると考えています。そうすることで、開発ライフサイクルの早い段階からコンプライアンスを可視化し、開発、セキュリティ、コンプライアンスの各チームが、後工程での対立や高額な変更を避けられます。

Snykの開発者ファーストのライセンスコンプライアンスは、まさにこれを実現するために設計されました。開発者がライセンスコンプライアンスに無理なく取り組めるよう支援することで、開発スピードを損なわずに、組織が効果的にリスクを軽減できるようにします。

「当初、オープンソースライセンスのコンプライアンスは私たちの優先事項ではありませんでした。しかし、Snykのおかげで状況が変わり、プロジェクト全体で使用しているさまざまなライセンスを効果的に管理することが、ずっと簡単になりました。」 

- Ryan Kimber、FormHero創業者兼CEO

ソフトウェア開発ライフサイクル全体で、早期からコンプライアンスを確保

Snykは何よりもまず、開発者が開発者のために作ったツールです。直感的で使いやすいユーザーインターフェースにより、開発者は既存のワークフローにライセンスコンプライアンスを簡単に組み込めます。さまざまなインテグレーションを提供し、SDLCのあらゆる段階で、できるだけ早くライセンスのテストを実施できます。

ライセンスコンプライアンスを負担なく実現できるよう、SnykのGitベースのインテグレーション（GitHub、Bitbucket、GitLab、CircleCI、TeamCity）では、通常のワークフローの一環としてライセンスをスキャンできます。新しいプルリクエストをスキャンしてライセンス違反を検出し、定義されたポリシーに基づいてライセンスチェックの合否を示します。

検出されたライセンスの問題は、開発者が問題の範囲を把握して対処できるよう、必要なコンテキストとともに表示されます。これには、会社のポリシーに準拠するために必要な次のステップを明記した、詳細な法務上の指示も含まれます。 

ライセンスコンプライアンスを効果的に管理

自動化せず手作業でライセンスコンプライアンスを管理するのは、銃撃戦に剣で挑むようなものです。今日の変化が激しく複雑な開発環境では、ライセンスコンプライアンスを効率的かつ効果的に策定、監視、適用する能力が求められます。

Snykの新しいポリシーマネージャーを使うと、管理者は開発者によるオープンソースの許容可能な使用方法と、ライセンスの問題が見つかった場合の適切な対応を定められます。Snykの管理者は、グループ内の各組織にライセンスポリシーを簡単に作成して割り当てることができます。

Snykでは、新しく作成された組織に自動的に適用されるデフォルトのライセンスポリシーを用意しています。設定はあらかじめ定められていますが、もちろん、好みに合わせて編集できます。

各ポリシーにはルールが含まれています。これは、許可するライセンスと禁止するライセンスを定めたホワイトリスト／ブラックリストのようなもので、ライセンス違反の深刻度を示す重大度レベルも設定できます。前述のとおり、Snykのライセンスポリシーでは、特定のライセンスの問題に直面した開発者が対応できるよう、実行可能な法務上の指示を追加することもできます。

SnykのCI/CDインテグレーションを使うと、ビルドプロセス中にポリシーを適用できます。管理者はビルドを制御し、開発サイクルの早い段階で「不適切な」ライセンスがコードベースに入り込むのを防げます。ポリシー違反があった場合は、Slack、JIRA、メールで通知できます。

ライセンス使用状況をエンドツーエンドで可視化

アプリケーションアーキテクチャがますます複雑になるなか、プロジェクト全体で使われているライセンスを適切に把握するには、可視性が鍵となります。Snykは、SDLC全体にわたるインテグレーションによる幅広いカバレッジと、直接依存関係と推移的依存関係の両方のライセンスを検出できる詳細なカバレッジを提供します。 

Snykは依存関係ツリーを生成し、どの依存関係によってライセンスの問題が持ち込まれたのかを正確に把握できるようにします。以下の例では、プロジェクトに取り込まれた依存関係に起因する重大度の高いライセンスポリシー違反を2件特定しました。直接依存関係はnpmパッケージのwicket@1.3.5、推移的依存関係はweb-project-starter@0.0.3によって導入されたパッケージflickity@2.2.1です。

依存関係ツリーによって可視化されるため、開発チームは問題をすばやく特定して修正し、会社のライセンスポリシーに準拠できます。  

さまざまなダッシュボードとレポート機能により、管理者は使用中のライセンスの詳細な一覧を確認・共有できます。著作権情報とともに、すべてのオープンソースコンポーネントとライセンスを一覧にしたBoMレポートも利用できます。

Snykのライセンスコンプライアンスは、特に優先順位を設けずに挙げると、Java、JavaScript、Scala、Go、Python、Ruby、PHP、Swift、Objective-C、.NETなど、広く使われているプログラミング言語に対応しています。

開発スピードを保ちながら、コンプライアンスを確保

今の時代を支えるのは開発者です。プロジェクトにどのオープンソースコードを取り入れるかを決めるのは開発者であり、組織がさらされるセキュリティおよびコンプライアンスのリスクを左右しています。

開発スピードを犠牲にすることなく、こうしたリスクを抑える唯一の方法は、セキュリティとライセンスコンプライアンスを開発ワークフローにシームレスに組み込めるようにすることです。Snykは、開発者向けのツール、柔軟なガバナンス、エンドツーエンドの可視性を備えた開発者ファーストのソリューションを提供し、開発者がライセンスコンプライアンスに取り組めるよう支援します。その結果、コンプライアンスに準拠したコードが増え、最終的にリスクを低減できます。Snykのライセンスコンプライアンスは、Snyk Open Sourceの有料プラン（Standard、Pro、Enterprise）でご利用いただけます。ご興味がありますか？デモをご予約ください。