製造中止となったオープンソースソフトウェアを管理するためのベストプラクティス

要約

オープンソースソフトウェア（OSS）への依存度が高まる中、EOL（End-of-Life）段階に達したソフトウェアの管理は非常に重要になっています。非推奨のオープンソースソフトウェアには、重要なセキュリティパッチを含むアップデートが提供されなくなり、重大な脆弱性やコンプライアンスリスクにつながる可能性があります。このホワイトペーパー「End of Life Manifesto：EOL オープンソース・ソフトウェアを管理するためのベストプラクティス」は、EOL OSS を効果的に管理し、セキュリティ、コンプライアンス、互換性を確保するための包括的なガイドを提供します。

‍

さらに、セキュリティリスク、コンプライアンス問題、業務上の混乱など、EOLソフトウェアに関連する主な課題についても概説する。在庫管理、リスク評価、構造化された移行計画の策定など、これらの課題に対処するためのベストプラクティスに関するアイデアも含まれている。利害関係者との透明性のあるコミュニケーション、延長サポートオプションの検討、強固なセキュリティ慣行の維持の重要性が、全体を通して強調されている。

‍

HeroDevsのNever-Ending Support (NES) 製品ラインを通じた、EOL OSSを管理するための独自のアプローチは、公式サポート期間を超えてセキュリティとコンプライアンスを維持しようとする組織にとって強固なソリューションであることが強調されています。このホワイトペーパーは、業界で認知された方法論と実例によって、プロアクティブなEOL管理の重要性を強調しています。

‍

1. はじめに

オープンソースソフトウェアにおけるEOL管理の必要性を理解する

目的

「End of Life Manifesto」は、サポート終了（EOL）を迎えたオープンソースソフトウェアの管理について、組織向けに包括的な指針を提供することを目的としています。ソフトウェアがEOLを迎えると、重要なセキュリティパッチやバグ修正を含む更新プログラムの提供は終了します。本ホワイトペーパーでは、オープンソースソフトウェアがEOLを迎えた際のベストプラクティスを紹介し、関連するリスクを軽減するとともに、業務の継続性とコンプライアンスを維持する方法について解説します。

‍

重要性

EOL（サポート終了）となったオープンソースソフトウェアを効果的に管理することは、いくつかの要因から不可欠です：

• セキュリティ上の脆弱性：EOL（サポート終了）となったソフトウェアは、既知の脆弱性に対するパッチが提供されなくなるため、セキュリティリスクにさらされやすくなります。例えば、ApacheStruts 、EOLバージョンを悪用したものであり、その結果、大規模なデータ漏洩が発生しました（National Vulnerability Database）。
• コンプライアンス上の問題：パッチが適用されていないソフトウェアは、GDPR、HIPAA、PCI-DSSなどの規制基準への不適合につながる可能性があります。組織は、法的要件を満たすよう、システムが最新の状態に保たれていることを確認しなければなりません（OpenJS Foundation、2023年）。

‍

2. サポート終了（EOL）について

EOLの定義とソフトウェアライフサイクルへの影響

‍

定義

「サポート終了（EOL）」とは、ソフトウェアが開発者によるサポートやメンテナンスを受けられなくなる時点を指します。EOLに達すると、そのソフトウェアにはアップデート、セキュリティパッチ、およびテクニカルサポートが提供されなくなります。例えば、Node.js 16.xは2023年9月11日にEOLを迎えたため、その日以降、アップデートやパッチは提供されなくなります（Node.js, 2024）。

‍

EOLライフサイクル

オープンソースソフトウェア（OSS）のライフサイクルには、通常、以下のものが含まれます：

• リリース：このソフトウェアは、初期機能を備えた状態で市場に投入されます。
• 積極的な開発：本ソフトウェアは、継続的なアップデートと機能強化が行われています。
• メンテナンス／長期サポート（LTS）：このソフトウェアには、バグ修正、セキュリティリリース、およびマイナーアップデートが提供されますが、大幅な新機能の追加はありません。
• サポート終了：セキュリティ対策、バグ修正、およびすべての更新が提供されなくなり、当該ソフトウェアはサポート対象外となります。

‍

影響

EOLソフトウェアの影響は深刻なものとなる可能性があります：

• セキュリティリスク：更新が行われない場合、サポート終了（EOL）となったソフトウェアは、新たに発見されたエクスプロイトの標的となりやすくなります。例えば、Heartbleedバグの原因となったOpenSSLの脆弱性は、数多くのアプリケーションに影響を及ぼし、即座の対応を必要としました（Heartbleed, 2024）。
• 運用上の課題：組織は、サポート対象外のソフトウェアによって運用上の支障をきたす可能性があり、それがシステム障害や統合上の問題につながる恐れがあります。

‍

3. サポート終了（EOL）となったオープンソースソフトウェアの管理に関するベストプラクティス

OSSにおける効果的なEOL管理のための戦略

‍

評価と計画

• 在庫管理：組織内で使用されているすべてのオープンソースソフトウェアについて、サポート状況を含め、包括的な在庫リストを管理します。Black Duck や Snyk などのツールを使用すれば、ソフトウェアのバージョンやサポート期間の追跡を自動化できます。
• 依存関係の自動更新：Mend Renovate などのツールを活用して、オープンソースの依存関係の更新プロセスを自動化します。これにより、ソフトウェアコンポーネントの最新かつサポート対象のバージョンを常に使用できるようになり、古くなったライブラリやサポート対象外のライブラリに起因する脆弱性のリスクを低減できます。
• リスク評価：EOLソフトウェアの使用を継続することに伴うリスクを評価する。Log4jの脆弱性は、EOLソフトウェアにおけるセキュリティリスクに迅速に対処することの重要性を浮き彫りにした。これは、同ソフトウェアが広く普及していたこと、およびパッチが提供されていなかったことから、この脆弱性が広く悪用されたためである（Apache, 2024）。
• 移行計画：代替案の特定、データの移行、プロセスの更新などを盛り込んだ、体系的な移行計画を策定します。この計画では、サポート終了（EOL）となるソフトウェアを、サポート対象の代替ソフトウェアまたは代替ライブラリに置き換えるために必要な手順を概説し、関連する課題に対処する必要があります。

‍

コミュニケーションと透明性

• ステークホルダーへの情報提供：ソフトウェアのEOL状況および移行計画について、ステークホルダーに随時情報を提供してください。期待値を適切に管理し、業務への支障を最小限に抑えるため、この情報提供は明確かつ定期的に行う必要があります。
• 公告：ソフトウェアのサポート終了（EOL）状況に関する公告を購読することで、サポート終了日を把握することができます。例えば、OpenJS Foundation は、同財団のプロジェクトのサポート終了状況について定期的に最新情報を提供しています（OpenJS Foundation, 2024）。

‍

サポートおよびメンテナンス

• サードパーティによるコンサルティング：Tideliftは、オープンソース開発者やコンサルタントと提携し、重要なオープンソースプロジェクトへのサポートを提供することで、リリースの安定性とセキュリティインフラの確保を図っています。
• カスタムパッチ：移行がまだ完了していない場合は、重大な脆弱性に対処するためにカスタムパッチを適用します。これには、パッチが効果的かつ安全であることを保証するために、技術的な専門知識とセキュリティ専門家との連携が必要となります。
• HeroDevsのサポート：オープンソースの長期サポートを専門とする企業「HeroDevs」と連携し、EOL（サポート終了）ソフトウェアの管理を行います。同社の専門知識を活用することで、移行期間中の安定性を維持し、セキュリティ上の懸念に対処することができます。

‍

コンプライアンスとセキュリティ

• セキュリティ上の考慮事項：セキュリティツールやフレームワークを活用し、EOL（サポート終了）ソフトウェアの脆弱性を定期的に評価・対処してください。OWASPなどの組織が提供するツールは、セキュリティリスクの管理と軽減に役立ちます（OWASP, 2024）。
• データ保護：暗号化や安全なデータ管理手法を適用することで、移行中のデータを安全に扱います。これにより、機密情報を保護し、データ保護規制への準拠を確保します。

‍

4. HeroDevsのEOLへの取り組み

HeroDevsのソリューションを活用した安全なEOL管理

‍

HeroDevsは、「Never-Ending Support (NES) を通じて、EOL（サポート終了）を管理するための堅牢なソリューションを提供しており、これにより、サポート終了となったOSSに対する継続的なセキュリティ更新が保証されます。

‍

主なサービス

Never-Ending Support (NES)

• 非推奨となったソフトウェアの代替としてそのまま利用でき、セキュリティとコンプライアンスを維持します。
• 必要に応じて、現行のプラットフォームおよびサードパーティ製ライブラリとの互換性を確保します。

OSSの包括的なサポート

• AngularJS、Vue 2、Spring、Drupal など、幅広い技術に対応しています。
• 当初からの主要な貢献者や開発者と協力し、サポートサービスの安定性を確保する。
• セキュリティの専門家を起用し、サポート終了済みのOSSにおける脆弱性を積極的に検索・修正しています。HeroDevsは認定番号付与機関（CNA）として、CVEの割り当ておよび修正を行う権限を有しており、重大なセキュリティ問題を迅速に特定・是正することを保証しています。

ご自身の条件に合わせて移行

• OSSの寿命を延ばし、チームがビジネスニーズに合わせて移行やアップグレードを計画できるようにします。
• 開発チームは、廃止予定のOSSのセキュリティ維持に時間を割くことなく、アプリケーションの開発に集中できるようになります。

‍

5. 業界からの評価と提携関係

重要なパートナーシップを通じた信頼の構築

‍

主要組織との提携

HeroDevsは主要な組織と重要なパートナーシップを築き、同社のNES製品の信頼性と確実性を高めています。Drupal 「Drupal Extended Long-Term Support Program」およびOpenJS Foundationの「Ecosystem Sustainability Program」の両方のパートナーとして、HeroDevsは、これらの技術のサポート終了までに移行できないチームが、HeroDevsのNever-Ending Support (NES) に頼り、必要な期間、システムのセキュリティとサポートNever-Ending Support (NES) 保証しています。 さらに、HeroDevsはGoogleAngular Evan You氏（Vueの創始者）をはじめとする多くのOSSリーダーや貢献者と協力し、これらの技術が本来持つ安定性を維持するとともに、さらなるイノベーションを促進するため、収益の一部を彼らに還元しています。

‍

実例

jQuery 広範な利用により、jQuery 脆弱性を悪用しようとする攻撃者にとって格好の標的となっています。近年発生したいくつかの注目すべき事件は、サポートが終了した、あるいは不適切に実装されたjQuery を使用することのリスクを浮き彫りにしています。

‍

2018年、ブリティッシュ・エアウェイズは大規模なデータ漏洩被害に遭い、約38万人の顧客の個人情報および金融情報が流出しました。 主な攻撃経路はMagecartグループによる悪意のあるスクリプトの注入でしたが、調査の結果、ブリティッシュ・エアウェイズjQuery 古いバージョンのjQuery 、攻撃者が悪意のあるJavaScriptを注入・実行しやすくなっていたことが判明しました。この事件は、大規模で十分なリソースを持つ組織であっても、jQueryのような一般的なライブラリを悪用した攻撃の被害に遭う可能性があることを浮き彫りにしました。

‍

同年、人気オンライン小売業者のNeweggでも同様の情報漏洩事件が発生し、これもMagecartグループによるものとされた。攻撃者がjQuery バージョンに関連する脆弱性を悪用した結果、顧客の支払い情報が流出してしまった。この事例は、jQuery広く利用されているライブラリを含め、すべてのWebコンポーネントを最新のセキュリティパッチで常に最新の状態に保つことの重要性を改めて浮き彫りにした。

‍

jQuery依然として使用している組織にとって、堅牢なセキュリティ対策を実施することは極めて重要です。これには、定期的なセキュリティ監査、パッチの適時適用、そしてHeroDevsが提供するような商用長期サポートサービスの検討などが含まれます。セキュリティに対して積極的な取り組みを行うことで、jQuery 広く普及しているライブラリの使用に伴うリスクを軽減しjQuery 近年大手企業を襲ったような情報漏洩から自社を守ることができます。

‍

6. 得られた教訓

• 先を見据えた計画：効果的なEOL管理には、早期の特定と計画が不可欠です。土壇場での問題を防ぐため、EOL日よりも十分に早い段階で移行プロセスを開始してください。
• ステークホルダーとの関わり：ステークホルダーとの透明性のあるコミュニケーションは、円滑な移行を保証し、起こりうる混乱への対応に役立ちます。
• セキュリティの重点：移行プロセス全体を通じてセキュリティを最優先し、商用による長期サポートが終了したソフトウェアに関連する脆弱性からシステムを保護する。
• 調整上の課題：組織の分散化により、脆弱性対策の調整が複雑化している（CISA、2020年）。
• ガイドラインの欠如：多くの組織では、運用レベルで脆弱性管理を効果的に調整するための、明確なパッチおよび構成管理ポリシーが欠如している（CISA、2020年）。

‍

7. 業界標準

• オープンソース・イニシアティブ（OSI）：業界の標準や慣行に準拠するよう、オープンソースソフトウェアの管理に関してはOSIのガイドラインに従うこと（OSI、2024年）。
• NISTサイバーセキュリティ・フレームワーク：EOLソフトウェアに関連するリスクに対処し、軽減するため、サイバーセキュリティ管理に関するNISTのガイドラインを遵守する（NIST、2024年）。
• サイバーセキュリティ・インフラセキュリティ庁（CISA）：サイバーセキュリティリスクの調整と管理を改善するため、脆弱性の是正に関するCISAのガイドラインに従うこと（CISA、2021年）。

‍

8. 提言と結論

• 在庫情報を常に最新の状態に保つ：オープンソースソフトウェアとそのサポート状況を定期的に更新・追跡し、EOL（サポート終了）日やサポートの提供状況に関する情報を常に把握しておく。
• リスク評価および移行計画の策定：リスク評価やスケジュールを盛り込み、サポート終了（EOL）ソフトウェアからの移行を管理するための包括的な計画を作成する。
• 透明性のあるコミュニケーション：混乱を最小限に抑えるため、EOL計画、代替案、および移行の進捗状況について、すべてのステークホルダーに情報を提供し続ける。
• サポートオプションを検討する：完全な移行を計画する一方で、サポート対象外となったオープンソースソフトウェアに潜む脆弱性に対処するため、延長サポートサービスの利用を検討してください。
• セキュリティとデータ保護への注力：堅牢なセキュリティ対策を実施し、安全なデータ取り扱い慣行を確保することで、システムを保護し、規制を遵守します。

‍

今後の見通し

組織は、EOL（サポート終了）ソフトウェアの管理にあたって、常に先を見据え、柔軟に対応すべきです。新たなトレンド、ベストプラクティス、技術の進歩について常に情報を把握しておくことで、オープンソース分野における将来の課題に対処し、新たな機会を活かすことができるでしょう。

‍

9. 参考文献

• Snyk. (2024). 『オープンソースのセキュリティ管理』.
• Apache. (2024). Log4jの脆弱性に関する情報。
• Tidelift. (2024). オープンソースプロジェクトに対する長期サポート。
• HeroDevs. (2023). オープンソースソフトウェアのサポートサービス。
• OWASP. (2024). Open Web Application Security Project.
• Angular. (2024).Angular .
• フィナンシャル・タイムズ（2024年）。「金融セクターにおけるEOLの管理」。
• オープンソース・イニシアティブ（OSI）。（2024年）。『OSIガイドライン』。
• NIST（2024年）。『NISTサイバーセキュリティ・フレームワーク』。
• サイバーセキュリティ・インフラセキュリティ庁（CISA）。（2020年）。『CISA Insights：インターネットに接続可能なシステムの脆弱性への対応』。