オープンソースソフトウェアの採用率は98％に拡大、脆弱性含む割合も増加の一途：IoTセキュリティ（1/2 ページ）

2021年OSSRAレポートの分析結果（クリックで拡大） 出典：日本シノプシス

　また、コードベース1つ当たりで用いられるOSSコンポーネント数も増加しており、2016年の84に対して2020年は528となった。これは「Webアプリケーションを中心にJ、より小さなソフトウェアコンポーネントとして用いられるJavaScriptベースのOSSがより広く使われるようになっているからだ」（吉井氏）。

コードベース1つ当たりのOSSコンポーネント数が増加している（クリックで拡大） 出典：日本シノプシス

コードベース1つ当たりに含まれる脆弱性の数の平均が倍増

　OSSRAレポートでは、「脆弱性」「ライセンス」「サステナビリティ」の3点をOSSのリスクとして報告している。

　まず、脆弱性では、少なくとも1つの脆弱性が見つかったコードベースの割合が84％、リモートコードインジェクションにつながり得る高リスクの脆弱性を含むコードベースの割合が60％となった。直近の3年間は、OSSに含まれる脆弱性の割合が増加している。

OSSに含まれる脆弱性の割合の推移（クリックで拡大） 出典：日本シノプシス

　また、コードベース1つ当たりに含まれる脆弱性の数の平均も、2019年の82から、2020年は158とほぼ倍増する事態となっている。吉井氏は「JavaScriptの採用によってソフトウェアコンポーネントが詳細化していることに加えて、脆弱性が判明したOSSをバージョンアップせずそのまま使用しつつ、さらに新しいOSSを取り込んでいるからではないか」と説明する。実際に、コードベースに含まれる上位10種の脆弱性を見ると、前回のレポートで見られたものが上位を占めるとともに含まれる割合も増えている。

コードベース1つ当たりに含まれる脆弱性の数の平均（左）とコードベースに含まれる上位10種の脆弱性（右）（クリックで拡大） 出典：日本シノプシス

　なお、アプリストアなどで人気の3335のAndroidアプリケーションについて行われたOSSRAレポートとは別の調査では、OSSを含む割合が98％、OSSに基づく脆弱性を含む割合が63％、高リスクと判定された脆弱性を含む割合が44％となった。企業買収時に査定されるエンタープライズ向けを中心としたソフトウェアを対象にするOSSRAレポートだが、Androidアプリケーションというコンシューマー向けソフトウェアの調査結果とほぼ同様の傾向にあるといえるだろう。

Androidアプリケーションにも多く含まれる脆弱性（クリックで拡大） 出典：日本シノプシス