「取引先からSBOMを求められた」「OSSの管理を始めたいが何からやれば？」——専任の法務やOSS担当がいない中小・中堅企業ほど、最初の一歩で迷います。本記事では、現実的に回るOSS管理の始め方を5ステップで示します。

なぜ管理が必要になるのか

OSS管理は「いつか」ではなく、具体的なきっかけで必要になります。取引先からのSBOM提出要求、サプライチェーン要件、EU CRA等の規制、M&A・IPOのデューデリジェンスなどです。放置すると違反時に出荷停止や是正要求につながります。

ステップ1：棚卸し（何を使っているかを知る）

まず、製品に含まれるOSSとそのバージョンを一覧化します。手作業ではなく、依存マニフェスト（package.json 等）やSBOMから機械的に集めるのが基本。ここが管理の起点です。

ステップ2：ライセンス判定

各OSSのライセンスをSPDXの共通IDで正規化し、許容型／弱・強コピーレフト／ネットワークのどのタイプかを把握します。

ステップ3：義務の整理と対応

配布の有無と結合形態をふまえ、必要な対応を整理します。著作権表示・ライセンス文・NOTICEの収集と同梱、GPL系があればソース提供手段の準備、などです。

ステップ4：ガイドラインを1本作る

「どのライセンスはOK／要相談／NG」という社内の判断基準を1本作っておくと、案件ごとに迷わなくなります。最初から完璧を目指さず、自社の典型ケースに絞った軽いひな形で十分です。

ステップ5：継続できる体制にする

OSSは依存更新や新しい脆弱性（CVE）で状況が変わり続けます。一度きりではなく、定期的な再チェックの仕組みにすることが大切です。第三者の継続モニタリングを使うのも選択肢です。体制を対外的に示したい場合はOpenChain（ISO/IEC 5230）のような枠組みも参考になります。

まとめ

  • OSS管理は 棚卸し→判定→義務対応→ガイドライン→継続体制 の順で始める。
  • 最初から完璧を目指さず、自社の典型ケースに絞って小さく始める。
  • 依存更新・CVEで状況は変わるため、継続できる仕組みにする。

「まず自社に何が含まれているか」を知りたい場合は、公開情報をもとにした整理から始めるのが近道です。出典はSPDX・OSI・公的機関の指針（IPA等）が参考になります。