Hitachi
EnglishEnglish お問い合わせお問い合わせ

FOSSA

OSS管理&SBOM管理ツール

OSS管理ツール FOSSA

FOSSA

OSS管理&SBOM管理ツール「FOSSA」は、米国のFOSSA, Inc.（以下、FOSSA社）のプロダクトで、ライセンスコンプライアンスおよびセキュリティ脆弱性のリスクを包括的に管理するためのコンポジション解析（SCA）ツールです。開発環境と統合した効果的なポリシー機能とレポーティングで、企業のOSS利活用・SBOM管理をサポートします。

製品デモを依頼する 無償トライアルを依頼する
「どの管理ツールを選べばよいの？」そんなお悩みを解決するトータルソリューションはこちら

このようなお悩みはありませんか？

  • 課題
  • 解決

  • 課題

    • OSSの利用可否を容易に判断するために、OSSライセンスに関する組織の利用ポリシーを作成したい。

  • 解決

    法律の専門家が監修した頒布形態ごとのポリシーテンプレートが用意されているため、これを用いてOSSを安心・安全に利用することができます。

  • 課題

    • SBOMの作成や問題管理に手間がかかっているため効率化したい。

  • 解決

    すべての依存関係、ライセンス、脆弱性を自動で検出したうえで、洗練されたUIにより問題の追跡と解決を容易にします。

  • 課題

    • 利用しているOSSのリストとライセンス・著作権通知のファイルをユーザー提供用に作成しているが、多大な工数がかかっている。

  • 解決

    カスタマイズ性に優れたレポート機能により、実用に即したOSSレポートの自動生成が可能です。

商品概要

FOSSA とは

「FOSSA」は開発者フレンドリーなOSS管理＆SBOM管理のプラットフォームです。広範なライセンスおよび脆弱性の情報を有しており、既存のCI/CDパイプラインと統合することで、開発の早い段階でSBOM作成とリスクの可視化が可能です。

アジャイル・DevOps時代に最適な管理ツールとして、多くのユーザーに利用されています。

全世界で多数の利用実績

全世界のさまざまな業種・業界における、16,000以上のソフトウェア開発組織がFOSSAを利用しています。デジタル企業のためのモダンなマネジメントプラットフォームとして、先進的な開発チームで採用されています。

FOSSAの3つのポイント

  • AUTOMATION

    自動化

    開発環境と統合された開発者フレンドリーな仕組みによって、アジャイル・DevOpsプロセスにおけるOSS管理＆SBOM管理の自動化を実現

  • COMPLIANCE

    コンプライアンス

    高品質なポリシー機能と、強力なスキャン、柔軟なレポートにより、OSSライセンスのコンプライアンス遵守を促進

  • SECURITY

    セキュリティ

    OSSの脆弱性検出と継続的なリスクのモニタリングに加え、必要な解決方法の提示により脆弱性対応者を支援

FOSSAだからできること

  1. solution 01

    リスク対策のシフトレフト

    既存のCI/CD環境の一部としてDevOpsプロセスに組み込むことで、早期かつ頻繁に問題の修復を適用してリスクを最小化

  2. solution 02

    継続的なコンプライアンスによるイノベーション促進

    開発者の継続的かつ頻繁なコードのリリースに合わせたコンプライアンスプロセスの実現によって、イノベーションを加速

  3. solution 03

    包括的なオープンソースの
    Due Diligence

    IPOやM&Aを阻害するコンプライアンスおよびセキュリティに関するリスクも、自動的な監査機能により包括的に把握

FOSSAの特長

オープンソースの世界でも利用される決定版ツール

FOSSAはOSSコミュニティ界隈でも広く認知されており、多くのGitHubプロジェクトで利用されています。FOSSAが提供する「license scan」のバッジは、ライセンスチェックのシンボルとして機能しています。

"もし私が仕事でFOSSAのバッジを見たら、
それはライセンスコンプライアンス遵守の面で大きなプラスになるでしょう"
Kris Borchers, Executive Director (JS Foundation)

OSSライセンスの世界との深い関わり

FOSSA社はTLDRLegalの運営元でもあり、OSSライセンスの世界には多大な貢献をしています。TLDRLegalはOSSライセンスを定義するOSI（Open Source Initiative）のプロジェクトで、ライセンスの要約をまとめるWebコミュニティサイトです。本サイトの内容はOSSライセンスに精通した著名な弁護士がレビューをしていますが、FOSSAのプロダクト開発にも同弁護士がOSS Policy Advisorとして参画しており、ポリシーテンプレートなどの機能開発が行われています。

OSSコミュニティのリーダーやプロフェッショナルと連携して機能を実装

FOSSA社はThe Linux Foundationの主要コミュニティのリーダーや、Uber、Verizon、Ford、TDAmeritradeといった企業のオープンソースプログラムオフィスの専門家と協力してベストプラクティスを収集・共有しています。これによって、FOSSAには開発者の課題や現場のニーズが取り込まれているので、実用に即した設計になっています。

ライセンスリスク・SBOM管理で業界最高評価

市場調査企業であるForrester Research社が発行するレポート*では、ソフトウェア構成分析市場のベンダーを複数の基準で評価しています。FOSSAは本評価における「ライセンスリスク管理」「ソフトウェア構成表（SBOM：Software Bill of Materials）」の基準において、最高得点（5.0点）を獲得しています。

  • *The Forrester Wave: Software Composition Analysis, Q3 2021

FOSSAの機能

オープンソースポリシーの作成と施行

使いやすいUIと、柔軟でカスタマイズ可能なポリシー機能により、OSSコンプライアンス業務を自動化します。標準化されたポリシーテンプレートは第一線で活躍する法律の専門家とともに作成されており、多くの顧客がデフォルトのポリシーとして利用しています。プロジェクト特性に応じたポリシーを用意することで、組織内の多様なプロジェクトをFOSSAで一元的に管理することが可能になります。

モダンな開発ワークフローとの統合

CI/CDパイプラインへのシームレスな統合（Jenkins、CircleCI、Travis、など）による継続的な検出、クイックインポートで迅速な結果の取得（Github、Bitbucket、Gitlab、など）が可能です。またオープンソースで開発されるクライアントスキャナはさまざまな環境に対応しています。
FOSSAはクラウドサービスのため容易に導入可能です（オンプレミス版も提供可能）。

SBOM作成によりオープンソースの利用状況を可視化

開発ライフサイクル全体でライブラリの依存関係を識別します。プロダクトで利用される直接的および間接的な依存関係の完全なリストを取得してインベントリを生成します。ライセンスはOSSの各ファイルをコードレベルでチェックし、ポリシー違反がある場合はアラートを通知します。また洗練されたUIによってすべてのコンポーネント、ライセンス、依存関係のパスを容易に追跡可能です。

コンプライアンスおよびセキュリティに関する問題の特定と対応

ライセンスと脆弱性の問題に関して、対応の根拠となるさまざまな情報を提供します。また多くの問題は自動承認により作業を効率化できます。プロジェクト管理ツールやコミュニケーションツールとの統合により課題発生時のアラート、および迅速な修正依頼も可能です（Jira、Slack、など）。

実用的なレポートによる責務の履行

レポート機能はリアルタイムな構成表およびライセンス・著作権通知を生成し、フォーマットおよびメタデータはカスタマイズ可能です。実用レベルのレポートのため自身の公式サイトにそのまま掲載することが可能です（※）。監査に対応した無制限のレポート作成が可能で、M&A、IPOのためのDue Diligenceレポートを生成することもできます。

FOSSAの仕組みと使い方

アーキテクチャ

FOSSAはSaaS型のクラウドサービスです。　※オンプレミス版も提供可能

FOSSAでOSSとSBOMを管理する際の典型的な流れは以下のとおりです。

  • 1. クイックインポート、またはCI/CD連携により、対象プロダクトのソースコードを解析します。

  • 2. サーバー側で解析が行われ、ライブラリ、ライセンス、脆弱性が検出されます。

  • 3. アラートやレポートなどにより、OSSのライセンスおよび脆弱性の状況を確認します。

解析パターン

FOSSAは大きく3種類の解析パターンに対応しています。

クイックインポート

GitHubリポジトリなどから直接FOSSAにソースコードをインポートしたり、ローカル環境のアーカイブをFOSSAにアップロードしたりして、解析を実行することができます。

スキャナ連携（CI/CD連携）

既存のCI/CD環境にFOSSAのスキャナを統合して解析を実行することができます。スキャナはオープンソースで開発されており、CIツールと容易に統合することができます。

SBOMインポート

すでに他ツールなどでSBOMファイルを作成している場合、そのファイルをFOSSAにアップロードすることで脆弱性検出などが実施できます。

事例

FOSSAの利用事例を以下に示します。

  • Zendesk社

    開発プロセス自体に継続的なコンプライアンス遵守の仕組みを実装。従来のツールやプロセスでは不可能だった、エンジニアリングチームと法務チーム間の新しいコラボレーションワークフローを実現。

  • Verizon社

    モバイルアプリにおけるOSSライセンスのコンプライアンスを大規模に展開するために、自社のCI/CDプラットフォームにFOSSAを統合。コスト削減、リスク軽減、イノベーションの加速を実現。

  • JS Foundation

    24のプロジェクトにおける2000以上のOSSを継続的に追跡、スキャン、分析。何百時間もかかると思われる依存関係の調査もFOSSAを使うことで自動化に成功。

  • Applause社

    多数のマイクロサービス、リポジトリ、言語、OSSパッケージからなる複雑なSaaSプロダクトのOSS管理において、継続的な見直し、および正確な追跡と報告を行う仕組みをFOSSAで構築。

  • NSD社

    工数がかかっていた法務部門によるライセンスチェック作業をFOSSAにより自動化。脆弱性チェック機能も利用し、製品の安全性も向上。

FOSSAの価格とライセンス体系

個別見積となります。
詳細は「FOSSAの価格とライセンス体系」を参照ください。

「無償版」と「無償トライアル版」について

FOSSAには「無償版」と「無償トライアル版」が存在します。

無償版には以下のような制限が存在します（有償版にはこれらの制限がありません）。

  1. 解析可能なプロジェクト数が5つまで

  2. 依存関係の解析は5階層まで

  3. ポリシーのカスタマイズ不可

  4. レポート出力の対象は直接依存パッケージのみ

など

特に２. の制限がある場合、解析結果が不完全になることから、商用目的での利用では有償版が推奨されます。
日立ソリューションズでは独自に30日間限定の無償トライアル版（全機能制限なし）を提供していますので、お気軽にお問い合わせください。

無償トライアルを申し込む

FAQ（よくある質問）

  • FOSSAの値段やライセンス形態を教えてください。

    FOSSAは年間サブスクリプションライセンスで提供されます。詳細は以下を参照ください。

  • FOSSAには無料の評価版・体験版のライセンスはありますか？

    あります。詳細は以下を参照ください。

  • スキャンする際にソースコードはFOSSAのデータセンターに送信されるのでしょうか？どういった情報が送信されますか？

    FOSSAはパッケージマネージャーの情報をベースにOSSの検出を行います。そのため、どのOSSが使われているか？という情報のみ外部に送信されます。ソースファイルの中身が外部に公開されることはありません。

  • 解析可能なソースコードのプログラミング言語・パッケージマネージャ―・バイナリのフォーマットなどを教えてください。

    以下のとおりです。

    Language / Tool Quick Import (app.fossa.com) Local Plugin (fossa-cli)
    Clojure (leiningen) - Supported
    Dart (pub) - Supported
    Elixir (mix) - Supported
    Erlang (rebar3) - Supported
    Fortran (fpm) - Supported
    Golang (glide) Supported Supported
    Golang (godeps) Supported Supported
    Golang (govendor) Supported Supported
    Golang (gopkg) Supported Supported
    Haskell (stack, cabal) - Supported
    iOS - ObjC, Swift (Carthage) Supported Supported
    iOS - ObjC, Swift (Cocoapods) Supported Supported
    iOS - Swift (SwiftPM) - Supported
    Java (maven) Supported Recommended
    Java (gradle) Supported Recommended
    Java (ant/ivy) Supported -
    JavaScript (bower) Supported -
    JavaScript (npm) Supported Recommended
    JavaScript (yarn) Supported Recommended
    Kotlin (gradle) - Supported
    .NET - C#, F# VB (NuGet & Paket) Supported Supported
    Perl (CPAN) Supported Supported
    PHP (composer) Supported Supported
    Python (requirements.txt) Supported Supported
    Python (Poetry) - Supported
    Python (Pipenv) - Supported
    Python (Conda) - Supported
    Ruby (gems) Supported Supported
    Rust (Cargo) Supported Supported
    Scala (sbt) Supported Supported
    Generic (Git Submodules) Supported N/A
    C, C++, Generic (Archives / Vendored) - Supported
    C, C++, Generic (Binaries) - Supported
  • ほかの開発ツールと統合できますか？統合可能な外部ツールを教えてください。

    代表的なものは以下のとおりです。

    AWS CodeBuild / Bitbucket Server (Stash) / CircleCI / Concourse-CI / TravisCI / TeamCity / Jenkins / JFrog Artifactory / Atlassian Jira / GitHub / GitLab / Slack / npm Enterprise / Nexus

  • WEB APIによるインテグレーションは可能ですか？

    可能です。

最終更新日：2023年9月25日

お見積もりはこちら

日立ソリューションズでは無料でご相談を承っております。
まずはお気軽にご相談ください。

お見積もりはこちら

関連商品・キーワード

関連リンク

資料ダウンロード お問い合わせ

フリーワードで検索