オープンソースライブラリ

ソースコードが公開され、オープンソースライセンスの条件に従って誰でも利用・改変・再配布できるライブラリ。開発を効率化できる一方、ライセンス条件の順守や、脆弱性が見つかったときの更新など、利用する側での管理が必要になる。

ソースコードが公開され、ライセンスの条件の範囲で自由に利用・改変・再配布できるライブラリ。開発の効率を高められる一方、ライセンスの条件の遵守、脆弱性への対応、開発が止まるリスクへの備えが必要で、SBOMやSCAツールで使用しているライブラリと版を把握する。

ソフトウェアを構成する部品（OSS などの外部コンポーネントを含む）と、その開発・提供に関わる供給元を把握し、品質、ライセンス、脆弱性などのリスクを調達から運用まで管理すること。SBOM（ソフトウェア部品表）による構成の可視化が有効とされる。

ソフトウェアの開発や配布の過程に介入し、正規のソフトウェアやその更新プログラム、利用されているオープンソースのライブラリなどにマルウェアを混入させて、利用者に広く感染させる攻撃。アップデートの配信経路の悪用が代表的で、SBOMによる構成部品の把握や署名の検証で対策する。

組織が利用するソフトウェアや機器の技術的な脆弱性について、情報の収集、資産の目録との照合による影響の把握、リスクに応じた優先順位付け、修正プログラムの適用や回避策の実施、適用状況の確認を継続的に行う活動。JIS Q 27002の「技術的脆弱性の管理」に当たり、SBOMやCVSSを活用する。

同じソフトウェアを、条件の異なる2つのライセンスのどちらかを利用者が選べる形で提供すること。GPLなどのコピーレフト型で無償公開し、ソースコードを公開したくない企業には有償の商用ライセンスを提供する、という形が典型である。

マサチューセッツ工科大学で生まれた、条件がきわめて緩いオープンソースライセンス。著作権表示とライセンス文を残せば、改変、再配布、商用利用、ソースコードを公開しない製品への組込みも自由に行える。無保証であることも定める。

カリフォルニア大学バークレー校で生まれた、非コピーレフト型のオープンソースライセンス。著作権表示と免責条項を残せば、改変、再配布、商用利用、ソースコードを公開しない利用を認める。条項の数によって2条項版や3条項版などがある。