欧米におけるOSS最新 状況およびOSS有効利用 のご紹介

Tim Yeaton
President and CEO
Black Duck Software, Inc.
欧米におけるOSS最新
状況およびOSS有効利用
のご紹介
May 19, 2010
Agenda
 はじめに
 米国・ヨーロッパにおけるソフトウェア開発とOSSのマーケッ
トトレンド
 マルチソース開発がもたらす敏捷性と革新性
 ベストプラクティスとブラック・ダックの役割
 お客様事例
2
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
About Black Duck Software
“Accelerate time-to-market and reduce development costs
by providing products and services for automating the
management, governance and secure use of open source
software in a multi-source development process, at
enterprise scale.”
Mission
2002年創立以来
業界リーダーからの期待
業界リーダー、イノベータ
としての地位を確立
Cool Vendor 2010
Application Development
3
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
“Nifty 150”
Cloud Computing Vendor
困難な時にこそ「変化」が求められる
 経済の減速に伴うIT予算の
大幅カット
 ビジネスの敏捷性を改善・革
新するための更なるプレッ
シャー
 より少ないリソースで、大胆な
イノベーション
ガートナーグループ (2010年1月)
 2009年のIT予算の減少： 8.1%
 2010年のIT予算は昨年並みか、1.3%のわずかな増加
 企業IT予算は2012年にようやく2008年のレベルに回復
4
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
ソフトウェア開発における変化

ソフトウェア開発のトレンド




コラボレーション開発
再利用のためのコンポーネント化、検索手法の発達
アジャイル
圧倒的なOSSの経済性


ほぼ全てのIT企業がOSSを利用：多くはその場限りの利用
45% がミッションクリティカルなアプリケーションに利用

「マルチソース」によるコンポーネントの組み立てと再利用は、時にアジャ
イルを利用することで、新しいパラダイムを築く

マーケットニーズ – “Managing Abundance”


70%以上のお客様がOSSポリシーをもたない
マルチソース開発における課題:
- コンプライアンス・マネジメント –> IP, セキュリティ, 輸出規制
- マネジメント・自動化 –> ポリシー, プロセス, 自動化ツール
451 Group によるOSS利用の調査結果 (2009年12月)
• 87%の企業によると、OSSはコスト削減の期待を満たす、または超えている
• 39%のOSS利用者が 柔軟性 をOSSの主要なメリットとみている
6
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
マルチソース開発の到来
社内開発
コード
オフショア開発コード
Cambridge
商用、第三者コード
San Mateo
Open Source
Software
コード
Bangalore
 個人
Paris
 大学・研究所
ソフトウェアプリケーション
 企業開発者
責務
御社 – 各種ツールやプロセス
“Open source is a necessary component of all organizations' supply chain
strategies. It is essentially a way to manage cost and mitigate 3rd party
dependencies.”
Brian Prentice, Gartner Group
7
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
そしてオープンソースは不可欠な要素と…
 商用ソフトウェアプロジェクトにおける最近の発見
– 数百の商用ソフトウェアプロジェクトを検証
 数百のファイル、数十億バイトのコード
 22% がオープンソース
 平均のプロジェクトサイズ: ~ 700MB
 各プロジェクト内で、十数から数百のOSSコンポーネント
 現行の開発プロジェクトから:
全ソースコード内に占める割合
60
50
OSS is a significant
portion of code in
Development
40
30
20
Source: Survey of Users from
WWW.Koders.com
(January-March 8, 2010)
10
0
Open source
8
Internally written
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
3rd party proprietary
Other (please
explain)
お客様からの声
 OSSを利用することに対する抵抗の減少
– 予算の現実がOSSのセキュリティ、品質等の心配を凌駕
 CIOはこれをチャンスとみなしている
– Agile: OSSの幅広い利用がアジャイルへの進化を促す
– 80%のCIOがコードの再利用・標準化を目標のひとつとしている
 新しい課題の取り組み–マルチソース開発におけるOSSの管
理手法
– OSSポリシーの定義
– 正しいOSSの選択 – 検索、選択、検証
– 複雑さと多様性の認識
 安易な OSS コンポーネントの利用がもたらすコンプライアンス、管理、サ
ポートの問題
– 「出所」 - 利用するコードに付随しているもの
9
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
マルチソース開発における課題
マネジメントと自動化
コンプライアンスとセキュリティ
 社内ソース及び外部の無数の
OSS群から適切なソフトウェアの
検索、選定
 OSS利用ポリシーの準拠
 過去の安易なOSS利用を転換し、
コードベースをコントロールする体
制の確立
 コンポーネントとバージョンの標準
化の推進
 ライセンス及び関連する責務の
把握と管理
 輸出規制の準拠
多くの企業は正式なOSSコントロール機
を導入していない:
 60% の企業が正式なOSS管理ポリシーや
ガイドラインを利用していない。
 その多くがOSSの管理自動化ツールを利
用していない
Source: 451 Group, December 2009
10
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
ソフトウェアサプライチェーンにおける課題
Windows 7 USB/DVD
ツールでのGPLv2 ライセン
ス違反：
• マルチソース形式：外部ベン
ダーと社内ソースで構成
• マイクロソフトは Microsoft
Storeからツールと外し、ソース
コードとバイナリを公開すると発表
教訓：
• マイクロソフトのような優良IT企
業でも問題が起こる
• OSSはいろいろなところからい
ろいろな形で紛れ込んでくる
•OSSを管理するにはプロセスと
技術が不可欠
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
SFLCによるGPL違反者への提訴
2009年12月
ポイント:
 大企業でも問題が起こ
る
 OSSは様々なソースか
ら
 確固としたポリシー、プ
ロセス、自動化ツールな
しには大量のOSSを管
理することは困難
12
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
ベストプラクティスに伴うマルチソース開発のメリット
製品出荷サイクルの加速
(Time to Market)
イノベーションと
製品性能の向上
OSSの利用によりSWの再
開発サイクルを回避
直ちに利用可能な機能が
すでに実現済
早期の機能実現
価値ある新機能開発のた
め内部リソース管理に
フォーカス
開発コストの抑制
開発とライセンスコスト
を低減するための再利用
開発グループの生産性を
改善
Innovate more,
more, code
Innovate
codeless
less
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
OSS利用によるメリット
 不具合のコスト
– 開発初期段階で不具合を検知す
ることでコストは最小限となる
– 開発終了段階、リリース後の不具
合は通常コストの 100-1,000倍
 OSSの投資はプロセス策定と
自動化へ
– 適切な検索・選択により、優れた
OSSコードを開発初期段階から
利用
– 外部コードは開発プロセスに入れ
る前に検証
– リリース前に全てのコードを検証
Capers Jones, Applied software measurement: assuring
productivity and quality, 1999.
14
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
マルチソース開発のベストプラクティス
ポリシー
プロセス
 機能横断的なビジネスポリ
シーの確立
 承認プロセスとワークフロー
を定義
 OSS利用ポリシーの発行
 アジャイル手法
 OSSのレビュー委員会の設
置と各プロセス責任者の任
命
 コードの入手時、及び開発時
における自動検証プロセス
 サプライチェーンテクニック
 コスト削減、及び再利用のイ
ニシアチブ
15
テクノロジー
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
 自動化されたモニター
 ライセンス責務の確認
Black Duck の役割
レビュー &
検索 & 選択
承認
コンプライア
ンスの分析と
検証
ALM ツールと
のインター
フェース
管理、監査そ
して維持
一般的なアプリケーョンライフサイクル
コンセプト
定義
デザイン
開発
ビルド
テスト
導入
 大量のOSSコンポーネントのマネジメント、ガバナンス、安全利用を自動
化
 拡張性、モジュラー性を備えた統合的なエンタープライズアーキテクチャ
 ポリシー準拠の確証と成文化
 既存のALMツールとの統合と補完関係
16
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
Code Center: ガバナンス・管理プ
ラットフォーム
– 承認フロー： 承認済みのコンポーネント（
OSS含む）を有するカタログ
– 承認されたBoM（Bill of Materials)の
作成
– アプリケーションの横断的な「where
used (過去の利用実績）」の確認
UI Framework
SDK
Protex:OSS ライセンス分析・検証
– 監査: 未知のコードべースの調査
– 検証: アプリケーション毎に承認BoMと
実際の検知されたBoMを比較
Export: 暗号アルゴリズムの分析・検証
Code Sight: 社内コードの検索エンジン
– 全コードのセントラルインデックス
– 分散された複数の、しかも異なるタイプの
ソースコードリポジトリーからコード検索
17
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
Core Framework
Black Duck KnowledgeBase
唯一無二の価値
世界最規模のOSSデータベース
豊富なメタデータ
 600億のコードライン
 237,000以上のOSSプロジェクト, 全てのバー
ジョン
 プロジェクト名、内容、バージョン、URL
 4,900サイトから入手
 National Vulnerability Database
 1,900以上のユニークなOSSライセンス
 Cryptography（暗号アルゴリズム）
 40,000以上のセキュリティ脆弱性
 ソース・バイナリーのコードプリント
 450以上の暗号アルゴリズム
 お客様特有のメタデータ
 ライセンス、言語、OS
 51億のコードプリントファイル
 OSSプロジェクトの詳細を提供
Open Source
Software
 高度な検索、パターンマッチング技術
 常に拡大中
 お客様のコードのコードプリント化
 セキュリティ脆弱性のアラーム
 メタデータの自動アップデート：月に１∼２回
18
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
お客様事例（１）:
OSSの戦略的利用
レビュー・承認委員会
Open Source
SourceForge
 開発
 法務
 セキュリティ
 マネジメント
 IT
 品質
KnowledgeBase
RubyForge
Eclipse.org
承認フロー
Alerts
Apache.org
etc…
Catalog
開発者
開発要求を満たすOSSコンポーネントの検索と選択


検索 – 外部サイト: Koders.com; 内部: Black Duck Code Sight
選択 - Black Duck KnowledgeBase
ポリシー準拠のためのコンポーネント検証

Black Duck KnowledgeBase及び検証エンジン（Protex、Export)
レビュー・承認を自動化およびスピード化するワークフロー

19
Black Duck Code Center
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
お客様事例（２）:
OSSの利用、再利用
検証エンジン
Software
Bill of Materials
 コンポーネント、ライセンス
 暗号アルゴリズムコード
SCM
Build
Test/GA
ポイント: 特定の段階における自動コード検証
–
–
ソフトウェアの出所とライセンス責務の管理
開発されたコードを承認コードと比較・監査 (Bill of Materials)

–
通常はプロジェクトの初期段階、ベータ段階、最終リリース段階で実施
コードレビューと第三者ライセンスチェックの簡素化
継続的な開発プロセス
–
–
20
SCMやビルドプロセスとのインターフェース
SCMやビルドシステムとの連携によるコードのスキャン・検証
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.
お客様事例（3）:複雑なソフトウェアサプライチェーンにおける
Black Duckマルチソース管理ソリューションによる自動化
SAPのパートナー
SAPのパートナー
SAPの顧客
SAPの顧客
ソフトウェ
アコンポー
ネント
社内開発
頒布
その他の商用コン
ポーネント
統合
OSSプロジェクト
OSSプロジェクト
OSSコン
ポーネント
統合
寄与
SAPの製品
SAPの製品
組み込み
第三者ソフ
トウェア
組み込み
第三者ソフ
トウェア
再頒布
New OSS usage
New Contributions
21
2001-06: OSSの利用はリ
スクとみなされ、例外処理を適
用した
Copyright © 2009 Black Duck Software, Inc. All Rights Reserved.
2007:OSSの利用は製品
部門に委ねられ、OSS団
体への寄与はEclipse
Foundationに限られた
2008-09: OSSを生産アッ
プの重要要素と位置付け、
OSS団体への寄与も製品部
門に委ねられた
まとめ
 OSSの経済性とマルチソース開発での
利用メリットは計り知れない
 OSSを大量に利用するには統治能力、
自動化、管理手法が必須
Catalog
KB
ALM Integration
 Black Duck Suiteはマルチソース開発での多様な課題を
解決できる唯一の統合製品
 既存のツールやプロセスの変更無しに、低コストの革新を迅
速に実現
Thank You!
22
Copyright © 2010 Black Duck Software, Inc. All Rights Reserved.