要約

  • CRAは、個別の製品がどう供給され、誰が継続的に支えるかを見ている。Barry O’Donovanは、同じ組織が無償版ではオープンソースソフトウェアの管理主体（open-source software steward）、有料版では製造者になりうると説明した。
  • 非営利という表示だけでは役割は決まらない。運用者には製品ごとの台帳、脆弱性窓口、修正までの道筋が要る。

同じプロジェクトが無償のオープンソース版を公開し、機能を加えた版を販売することはある。CRAは二つの製品を別の役割に置く可能性がある。Barry O’Donovanの実務的な読み方は明快だ。役割は組織名ではなく製品について判断する。

O’DonovanはINEXでIXP Managerの主要開発を担う。RIPE 93のソフトウェア供給網の講演で、交換所やネットワークがオープンソースに依存するとき、上流プロジェクトにどのセキュリティ作業を求められるかを問いかけた。

欧州委員会の現行ガイダンスは製造者とオープンソースソフトウェアの管理主体を分けている。オープンソース製品を市場に出す製造者には製造者の義務が適用される。市場には出さず、商業活動を意図した特定のオープンソース製品を継続的かつ体系的に支え、その存続に中心的な役割を持つ法人は管理主体に該当しうる。管理主体にはサイバーセキュリティ方針、脆弱性対応、市場監視当局への協力が求められる。

O’Donovanが示したのは、無償のオープンソース版と追加機能を販売する版を持つプロジェクトだ。彼の説明では、組織は前者の管理主体であり、後者の製造者にもなりうる。欧州委員会の説明も特定の製品と供給方法を対象にする。財団、企業、開発チームに一つのCRAラベルを貼るより、製品を単位にした方が実態に合う。

法令は短絡的な判断にも歯止めをかける。企業から資金を受けること、外部から貢献を受けること、定期的にリリースすることだけで、ソフトウェアが商業活動になるわけではない。

非営利組織が費用控除後の収益を非営利目的に充てる形で開発するオープンソース製品も、商業活動とは扱われない。価格、製品への責任、支援の継続性、商業用途の意図をまとめて見る必要がある。

O’DonovanはIXP Managerを例にした。INEXは自らを管理主体に当たると判断し、他の交換所から供給網の説明を求められたため、安全な開発方針と脆弱性開示方針を公表したという。

INEXは非営利団体でありながら交換ポートに料金を設定しているとも説明した。これは彼の運用上の解釈であり、規制当局によるIXP Managerの分類ではない。公開された基準では、製品と組織の実際の役割を確認する。

NIS2の対象となる運用者は、自らの供給網管理も続けなければならない。第21条は供給網、システムの調達・開発・保守を扱い、脆弱性対応と開示も含む。O’Donovanはソフトウェア台帳、脆弱性の追跡、迅速なパッチ方針を挙げた。

質疑では、明白な事例と裁判で整理される灰色領域があると見通した。運用者は依存する製品ごとに、リリースを誰が管理し、誰が報告を受け、誰が修正を出せるかを確かめられる。商用モデルが変われば役割も変わりうる。組織名だけの台帳では、その変化を捕まえられない。

出典

RIPE 93の文字起こし · RIPE 93セッション · 欧州委員会：CRAとオープンソース · 規則 (EU) 2024/2847 · NIS2指令 · INEXの人物紹介