ブラック・ダックのフォズニック氏、OSSマネージメントのトップリーダとして日本でのビジネス展開を語る
オープンソースソフトウェアのロジスティックスサービスを提供するブラック・ダック・ソフトウェア株式会社（以下、ブラック・ダック）は都内でセミナーを開催した。同時に来日した本社Blackduck SoftwareのCTO、ビル・レディンガム氏と日本法人の代表取締役社長、ジェリー・フォズニック氏にインタビューを行い、オープンソースソフトウェアの拡がりと企業における管理の概要、日本でのビジネスについて話を聞いた。
－－日本法人の社長として就任して約半年が経ちましたが感触はいかがですか？
フォズニック氏：とても忙しいですね（笑）。現在、市場の状況はすごく良くなっていると思いますし、企業においてオープンソースソフトウェアを使うということがますます拡がっています。日本でのブラック・ダックのビジネスも常に前年比、倍というように成長しています。
レディンガム氏：ただ、日本の大企業は北米に比べてオープンソースソフトウェアの導入に関しては少し保守的だと思います。いつも数年、北米のほうが早く進んでいると感じますね。
フォズニック氏：今のところ、日本では組込系デバイスを開発している企業などでの導入が進んでいますが、それ以外にもシステムインテグレーターと一緒にエンタープライズやソフトウェア開発を行っている会社などにも導入を拡げていきたいと思っています。これまではパートナー経由のビジネスでしたが、これからは直販も始めようとしています。直販とパートナー販売のハイブリッドの営業スタイルということになりますね。
－－技術的な質問に移りますが、ソフトウェア開発の際にPaaSと連携して開発サイクルの中でオープンソースの脆弱性を検知したりすることは可能でしょうか？
レディンガム氏：実際にソフトウェア開発の際に必要なJenkinsなどのCIツールとの連携はとれています。PaaSそのものとの連携で特別お話できることはありませんが、PivotalやRed Hat、その他にもAWSやMicrosoft Azureなどとも連携できるようにコミュニケーションを続けています。
－－では、コンテナーについてはいかがでしょう？ 以前、Red Hatと進めていたコンテナー内の検査、Deep Container Inspectionについて教えて下さい。
レディンガム氏：コンテナーは企業のアプリケーションにおいて重要な位置を占めており、コンテナー技術はオープンソースソフトウェアが主に使われています。具体的なお話しはできないのですが、ブラック・ダックもRed HatのAtomicプラットフォームにおいて協業していますし、既に導入が進んでいる顧客もいます。
- 参考：Red HatのDeep Container Inspectionのブログ記事：http://rhelblog.redhat.com/tag/deep-container-inspection/
- Black Duck Container Securityに関するホワイトペーパー
（Black Duck社のサイトに移動します）
－－オープンソースソフトウェアにおける脆弱性についてまだまだ不安を持っている経営者も多いと思いますが、それらについてどういうメッセージを伝えたほうが良いんでしょうか？
レディンガム氏：例えばマイクロソフトやオラクルなどのプロプライエタリなソフトウェアは定期的に脆弱性に対してパッチなどの修正を出してきますが、オープンソースソフトウェアに関してはユーザー側がちゃんと意識して脆弱性に対する修正などを実施する必要があります。常に情報を発信して、啓蒙していかなければいけないと思います。オープンソースソフトウェアにおいては情報を受け取るために受け身ではなく、自ら進んで情報を取りに行くという姿勢が大事だと思います。
－－今では中国や東欧などからもオープンソースソフトウェアが出てきています。そういう人たちに脆弱性などの情報を発信するように啓蒙するために何をしようとしているんですか？
レディンガム氏：NISTなどのように脆弱性を発見し、分類し、追跡するというのは重要な仕事ですし、新たな脆弱性が発見されたらそれを直ぐに対処する最前線の仕事は必要です。さらにそれをデータベースという形で情報を管理していくというバックエンドの仕事も重要です。我々はNVD（National Vulerability Database）だけではなく他のオープンソースソフトウェアに関するソースを集めて情報を集約することに努力しています。
フォズニック氏：我々はオープンソースソフトウェアを使う側への教育も、作る側への教育も大事だと思っています。ですので、我々の顧客に対してそういう教育、啓蒙を行いつつ、Linux Foundationなどと協力して常に脆弱性に関する情報発信と啓蒙を進めていくつもりです。
オープンソースソフトウェアを組込系などの装置に導入する際に脆弱性やライセンス準拠について注意を払うとというのはもはや当たり前で、これからはエンタープライズにおけるIT資産の把握という意味でも脆弱性に対して敏感でいなくてはいけない時代となっている。これからコンテナーやDevOpsといった新しいパラダイムに移行したとしてもその必要性は変わらない。ブラック・ダックのソリューションの進化に注目したい。
