ITセキュリティへのオープンなアプローチ
ソースコードが公開されているのに、どうしてソフトウェアの安全性を確保できるのでしょうか？ 多くの企業や政府機関が自由ソフトウェアを信頼するのには、十分な理由があります。
テクノロジーが、組織や個人が自らを組織し、互いに関わり合う方法の中心的な役割を担うようになるにつれて、セキュリティは行政にとっても企業にとっても重要な課題となっています。さらに、私たちが利用・導入するテクノロジーが高度化・複雑化するにつれて、セキュリティそのものもますます複雑になっています。これは端末だけの問題ではありません。パブリッククラウド環境に保存される、増大し続ける個人情報や機微な情報の保護も含まれます。政府には、保有する市民のデータを適切に取り扱う責任があります。プライバシーとセキュリティを確実に守らなければなりません。特にプライバシーの観点では、EU一般データ保護規則（GDPR）のような規制は、大手 Software as a Service（SaaS）企業が利用者のデータをどのように扱っているのかという懸念の高まりを反映しています。
セキュリティについて考えると、問題はさらに複雑になります。政府にも大企業と同じ基準で責任を求めるべきだと考えるのであれば、最高水準のセキュリティと適切なセキュリティ管理を要求することが重要です。セキュリティ管理には、さまざまな側面があります。その一つが、自ら使用するソフトウェアスタックを常に最新の状態に保ち、その内部で何が起きているのかを監査できるようにすることです。この点で、自由ソフトウェアは重要な役割を果たします。
自由ソフトウェアは、多数のソフトウェア専門家とセキュリティ分野の専門家からなる大きなコミュニティによって共同で開発できます。コードが広く精査されることで、より多くの問題が、より早い段階で明らかになります。
ソフトウェア工学の観点からも、リバースエンジニアリングによってソフトウェアの仕組みを解明するより、ソースコードそのものを調査するほうがはるかに容易です。自由ソフトウェアであれば、あらゆる企業や政府機関が、ソースコード全体または関心のあるアプリケーションの一部分について、自ら監査を実施することができます。一方、プロプライエタリ・ソフトウェア企業は通常、自社で監査人を雇います。顧客は、その企業が販売するソフトウェアのセキュリティ機能について、企業側の説明を信頼するしかありません。
これは、脆弱性管理に関するもう一つの問題にもつながります。システムのセキュリティが密室の中でのみ扱われる場合、第三者によるデータへのアクセスを認める裏口的な合意が求められる可能性が高まります。理想的には、そのようなことは監査後に明らかになるでしょう。これは企業や行政機関にとって、セキュリティ面だけでなく政治的な影響も伴い、社会からの評価を大きく損なう可能性があります。
一般に公開され、変更可能なコードベースが、十分に幅広い利用者によって頻繁に更新されている限り、自由ソフトウェアはセキュリティ上の問題を迅速に発見できる環境を提供します。問題が発見されれば、誰でも、あるいはどの企業でもコードを読み、問題を理解し、その問題を解決するパッチを提出できます。ただし逆に言えば、支えるコミュニティが存在しないのであれば、コードが自由に入手できるというだけで、クローズドソースより安全になるわけではありません。
プロプライエタリ・ソフトウェアのモデルでは、ソースコードへアクセスできるのは一つの企業だけです。さらに重要なのは、開発上の優先順位が、その機能がどれだけ収益につながるかによって決められることです。問題が報告されると、その問題は優先度を判断され、他の要望と比較されます。そのため、利用者にとってセキュリティ上の問題が重要であっても、修正を依頼している企業側にとっては高い優先順位にならない可能性があります。利用者は順番が来るまで待たなければならず、問題が解決されるまでは脆弱性を抱えたまま使い続けることになります。場合によっては、修正を適用するスピードもベンダーの対応力に依存します。契約を終了していれば、ベンダーにはそもそも修正する義務がない可能性さえあります。英国の病院が WannaCry の被害を受けた事例は、その典型です。1自由ソフトウェアのモデルでは、現在のベンダーが問題の修正に十分対応してくれなければ、別のベンダーへ修正を依頼できます。利用者自身を含め、誰でもソースコードへアクセスできるからです。自らの課題と優先順位を自分で決めることができ、必要な速さで修正を行い、必要なタイミングでシステムへ適用することができます。
最も広く利用されているセキュリティ標準の多くは、使用し、研究し、共有し、改変する自由とともに提供されています。ウェブサイトの保護から、電子メール暗号化による通信の保護、ネットワークセキュリティに至るまで、公開され文書化された標準が存在します。最良の標準を適切に実装し、市民の情報を守るために役立てることは政府の責務です。政府は、重要な任務について、ベンダー側の都合や利害関係から独立することを急ぐべきです。そのためには、自由ソフトウェアが唯一の合理的な解決策です。
Footnotes
Section titled “Footnotes”-
Townsend M. and Doward J., “Cyber-attack sparks bitter political row over NHS spending”, The Guardian (London, 14 May 2017), available online, accessed 11 August 2018. ↩