米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)はOpen Source Software: Security Principles and Practicesガイドを公表しました。このガイドは連邦政府機関向けに、オープンソースソフトウェアのセキュリティ管理、OSSプロジェクトへの貢献、オープンソースAIシステムの評価に関する推奨事項をまとめたものです。
オープンソースソフトウェアの利用
連邦政府機関にとって、オープンソースソフトウェアには利点があります。ソースコードを独自に検証できるため、ベンダーの主張への依存を減らせるほか、単一サプライヤーへの依存度を下げ、ライセンス料の削減と開発作業の共有によってコストを抑え、公的資金で開発されたソフトウェアを適切な範囲で公開することで透明性の向上にもつながります。
CISAは、オープンソースソフトウェアを他のソフトウェア資産と同様に扱い、導入前にセキュリティを評価し、ライフサイクル全体を通じて監視することを推奨しています。各機関は、活発に保守されているプロジェクトを選び、利用にあたって適用されるライセンスを理解した上で、依存しているオープンソースコンポーネントの一覧を維持すべきだとしています。
ガイダンスでは、ソフトウェアの依存関係を追跡すること、新たに開示された脆弱性についてプロジェクトを監視すること、プロジェクトが引き続き信頼できるかどうかを定期的に評価することを推奨しています。ソフトウェア部品表(SBOM)は、新たな脆弱性が公表された際に影響を受けるコンポーネントを特定するのに役立ちます。
各機関はセキュリティパッチを可能な限り速やかに適用すべきであり、独自に構築したソフトウェアを使用している場合や、オープンソースプロジェクト側がまだ更新版をリリースしていない場合には、修正を自ら提供する準備をしておく必要があります。プロジェクトのサポートが終了した場合や、セキュリティ上の問題が未解決のまま残る場合には、サポートされている代替製品へ置き換えることを推奨しています。
AIを含むツールの普及により、発見される脆弱性の数が増加し、パッチ開発のスピードも加速しています。CISAは、可能な限り依存関係管理、パッチ適用、セキュリティテストを自動化するよう組織に促しています。
プロジェクトへの貢献
CISAは、各機関が利用しているオープンソースプロジェクトに対して、セキュリティ修正、バグ報告、ドキュメント作成、技術的な議論への参加といった形で改善に貢献することを奨励しています。こうした変更をより広いコミュニティと共有することで、重複作業を減らし、全ユーザー向けにソフトウェアを改善し、政府資金による改善成果を一般に公開できます。
貢献する前に、各機関はプロジェクトのライセンスが参加を許可しているかを確認する必要があります。また、貢献するソースコード、ドキュメント、設定ファイルを必ず確認し、パスワード、暗号鍵、内部システムの詳細、その他の機密情報が含まれていないことを確かめるべきです。
OSSの開発と公開
CISAによると、ソフトウェアを開発する各機関は、法的・セキュリティ的・運用的な理由で公開が妨げられない限り、当初からオープンソースでの開発・公開を検討することが推奨されています。
内部で開発したソフトウェアの一覧には、各プロジェクトを一般公開するのか、連邦政府内のみで共有するのか、あるいは法的・セキュリティ的・運用的な理由で非公開とするのかを明記すべきです。
プロジェクトを公開する前に、各機関はパスワード、暗号鍵、内部システムの詳細といった機密情報が含まれていないか確認する必要があります。安全なソフトウェア開発手法に従い、適切なオープンソースライセンスを選択した上で、ドキュメント、貢献ガイドライン、脆弱性開示ポリシー、SBOMとともに公開コードリポジトリでプロジェクトを公開すべきです。
公開後も、各機関は更新版のリリースやセキュリティ問題への対応を継続し、ソフトウェアのサポートが終了した際にはその旨を明確に周知することが推奨されています。
契約業者がカスタムソフトウェアを開発する場合、CISAは、政府がそのコードを再利用・改変し、必要に応じてオープンソースとして公開するために必要な権利を確保しておくことを推奨しています。
オープンソースAIシステムの評価
ガイダンスでは、いわゆる「オープンソース」AIシステムについては、通常のオープンソースソフトウェアとは異なる方法で評価すべきだとしています。AIモデルは、学習データを公開しないままオープンソースライセンスの下でリリースされることがあるためです。
学習データや学習プロセスにアクセスできなければ、組織はモデルの出所を確認できず、開発プロセスやコンポーネントが改ざんされていないかを十分に評価できない可能性がある、とCISAは指摘しています。
オープンソースAIシステムを導入する前に、組織は学習データや学習プロセスを含め、その開発方法について十分な可視性を得られているかどうかを見極める必要があります。そうした情報が得られない場合、ガイダンスでは、そのシステムを出所が不完全な独自ソフトウェアとして扱い、より厳格なリスク管理手法を適用することを推奨しています。
翻訳元: https://www.helpnetsecurity.com/2026/08/03/cisa-oss-security-guidance/
