政府におけるオープンソースセキュリティ

2006年4月19日SearchOpenSource.comに掲載された『Open source security in government』記事を和訳してご紹介します。オレゴン州がセキュアさを確証し、州のCRMとしてSugarCRMを導入しました。
原文はこちら

オープンソースを選ぶとき、企業にとっては、エンタープライズレベルの機能、柔軟性、費用といったものが意思決定を左右する要因である。しかし、政府部門のITマネージャにとっては、ITセキュリティという要因が一番だ。オープンソースは政府のIT基盤にとって十分安全であると言えるだろうか。この特集では、そこに焦点を絞って掘り下げてゆく。

ガートナーのアナリスト、ジョン・ペスカトール氏は、多くのオープンソースソリューションが、実際にはクローズドソースソリューションより安全で、政府領域により適したものであるとさえ言える、と語る。

「悪意のある人たちがコードを見るので、より多くの脆弱性があるというのではないかという神話があるのです。」と、ペスカトール氏は語る。「しかし真実は、強健なコードであるかの予測因子は、セキュリティが開発サイクルにおいて、最優先事項であったか、補足事項であったかどうかということなんです。」彼の意見では、オープンソースに対するセキュリティ議論はもう終わった問題なのである。

オープンソースセキュリティは、オレゴン州の情報サービスオフィスの政策および計画マネージャのデニス・ウェルズにとって大きな懸念事項であった。ウェルズはヒューマン・サービス部門のためのCRMソリューションを探していた。長年スプレッドシートに頼ってきたが、オレゴン政府のヒューマン・サービス部門は、毎年政府のサービスを利用する100万人以上の住民をトラッキングするためのより良いシステムの導入が必要であるということを決定した。CRMソリューションについて研究するタスクはウェルズに任せられた。ソリューションは部門の特定のニーズを満たすだけでなく、政府の厳しいセキュリティ要件を満たすものでなければならなかった。

「私はクローズドソースかそれともオープンソースかということにはあまり気にしていませんでした。ただあらゆる代替手段を探すと決めました。」と彼は語る。

ウェルズ氏は最終的に、オレゴン政府のニーズに合わせてカスタマイズが可能なソリューションを提供するオープンソースアプリケーションのSugarCRMを導入することに決めた。
コードがオープンであるという事実は決してセキュリティの問題にならなかった。ウェルズ氏はSugarCRMが、彼が評価した他のソリューションと同じぐらい強固で安定していることを立証したことに満足した。彼は、部門のビジネスプロセスに合うようにCRMアプリケーションをカスタマイズできるようにすることにもっと気をかけていた。ウェルズ氏は、IT部門からセキュリティとビジネスプロセスの要件に関して承認を得た後、10分もかからずに、無料のオープンソースソリューションをダウンロード、インストールした。

ペスカトール氏によれば、ウェルズのオープンソースセキュリティの評価は政府のITマネージャの間では、特異的なものではなかった。もはやセキュリティは懸念事項ではないので、購買決定はクローズドソリューションを購買する時と同じように機能性と価格に基づいて行うことができるのである。

「政府の領域となると、私達は公共の利益に合致するものかどうかを分かっている必要がある。オープンソースであること、そしてコミュニティがそれをサポートするという事実は政府にとってはより適しているといえる。」とクラフト氏は語る。

クラフト氏は、マサチューセッツ連邦とマイクロソフトの間で起こっている争いについて指摘する。州は、デジタル文書のアクセシビリティの保護をより強化するため、2007年1月までに州にオープンソース文書方針を採らせる法案を可決しようとしている。州は、マイクロソフト、もしくは他のクローズドなオープンソフトウェアベンダーがプラットフォームの旧バージョンをサポートすることを中止すれば、何千もの保存文書が使いものにならなくなってしまうと主張する。コンプライアンスやデジタル文書の保存に必死になっている世界では、これらのファイルを失うことは致命的であろう。

「バグがオープンソースのために記録的な速さで修理されているので、現在、オープンソースセキュリティを支持するアーキテクチャ議論がある。」とクラフト氏は語る。より早くパッチが配布されるということは、政府機関が攻撃を受ける時間がより短いことを意味します。

また、オープンソースを使用する政府機関は、セキュリティを維持することに全力を投じている商業地区の広いユーザコミュニティから利益を享受することができる。これらのユーザコミュニティは、常にソフトウェアをテストしており、修正やパッチの共有を行っている。オープンのSolarisプラットフォームを使用している開発者のコミュニティであるOpenSolaris.orgには11,000人のメンバーがいるが、Sunの従業員は1000人足らずである。セキュリティ欠点が明らかにされると、何千ものユーザが素早いソリューションを見つけることに興味を持ちます。同じソフトウェアをしようする政府機関は自らパッチを開発したり、ベンダーに頼ったりするのではなく、これらのリソースをうまく活用することができるのである。一度パッチが開発されると、通常オープンソースベンダーは、それをサポートすることに同意し、その後に続くリリースにそのパッチを組み込む。

●●