【ITニュース解説】Greg Kroah-Hartman explains the Cyber Resilience Act for open source developers

サイバーレジリエンス法（CRA）は、デジタル製品のセキュリティを強化することを目的として欧州連合（EU）で提案されている新しい法律で、特にソフトウェア開発者、中でもオープンソースソフトウェア（OSS）の開発者にとって大きな影響をもたらす可能性がある。この法律は、スマートフォン、パソコン、IoTデバイスといったハードウェアだけでなく、それらの中で動作するオペレーティングシステムやアプリケーションソフトウェアなど、インターネットに接続されるすべてのデジタル製品に対して、その設計から販売、そして利用終了までの全ライフサイクルを通じて高いセキュリティ基準を義務付けるものだ。

このCRAがなぜこれほど注目され、議論を呼んでいるかというと、その対象範囲の広さと、オープンソースソフトウェアに対する適用方法が不明確な点にある。デジタル製品の「製造者」に対して、セキュリティに関する脆弱性の開示、迅速な修正、セキュリティアップデートの長期的な提供、適切な文書化など、多岐にわたる義務と責任を課す内容になっている。これは、製品のセキュリティ問題による消費者への被害や経済的損失を減らし、EU域内のサイバーセキュリティ全体を向上させることを目指している。

しかし、この法案に対して、Linuxカーネルの主要なメンテナーの一人であり、オープンソース界で最も影響力のある人物の一人であるグレッグ・クロー・ハートマン氏が、オープンソース開発者に与える潜在的な悪影響について強い懸念を表明している。彼の主な懸念は、CRAがオープンソースソフトウェアの特性を十分に考慮していない点にある。

オープンソースソフトウェアは、通常、ボランティアの開発者たちが共同で、無償でコードを公開し、改良を進めていくという独特のエコシステムで成り立っている。多くのOSSプロジェクトは、企業ではなく、個人の開発者や非営利団体によって運営されている。彼らは、自分の興味や技術向上、あるいはコミュニティへの貢献のために活動している場合が多く、その成果物を「販売」して利益を得ることを主目的とはしていない。

CRAの草案では、「商用活動」としてソフトウェアを提供する場合、その「製造者」が法的な責任を負うとされている。しかし、この「商用活動」の定義が非常に曖昧なため、グレッグ・クロー・ハートマン氏は、意図せず多くのオープンソース開発者が「製造者」と見なされ、CRAの義務を負わされるリスクがあると指摘している。例えば、特定の機能を持ったオープンソースライブラリを開発し、それを他の企業が自社製品に組み込んで販売した場合、元のオープンソースライブラリの開発者も「商用活動」に加担したと解釈され、CRAの責任範囲に巻き込まれる可能性があるという懸念だ。

もしそうなれば、個人のボランティア開発者や小規模なオープンソースプロジェクトは、CRAが求めるような厳格なセキュリティテスト、脆弱性管理プロセス、長期にわたるセキュリティサポート、詳細な文書化といったコンプライアンス要件を満たすことが極めて困難になる。これらは企業が行うようなコストとリソースを要する作業であり、無償で活動しているオープンソース開発者には大きな負担となるからだ。

この結果として、グレッグ・クロー・ハートマン氏は、多くのオープンソース開発者が法的なリスクを恐れて活動を停止したり、EU域内でのソフトウェアの提供をためらったりする可能性があると警告している。これは、世界中のデジタルインフラの基盤となっているオープンソースエコシステム全体に深刻な悪影響を及ぼしかねない。イノベーションの停滞や、新しい技術開発の阻害にもつながる恐れがある。例えば、Linuxカーネルのような大規模なプロジェクトは、世界中の何千ものボランティア開発者の貢献によって成り立っているが、彼らが個々にCRAの責任を負うリスクを抱えることになれば、貢献のモチベーションが失われ、プロジェクトの継続そのものが危うくなる可能性も否定できない。

CRAが目指すサイバーセキュリティの向上という目標自体は重要であり、その必要性は広く認識されている。しかし、オープンソースソフトウェアが現代のデジタル社会において果たしている不可欠な役割と、その開発モデルの特殊性を考慮した上で、現実的な規制のあり方を検討することが不可欠だとグレッグ・クロー・ハートマン氏は訴えている。特に、脆弱性の発見と共有、そして迅速な修正は、オープンソースコミュニティの強みの一つであり、CRAがその活動を阻害するような形になってはならないという主張だ。

このような状況は、システムエンジニアを目指す皆さんにとっても決して無関係ではない。現代のソフトウェア開発において、オープンソースソフトウェアはあらゆるシステムで利用されている。OS、データベース、ミドルウェア、開発ツール、ライブラリなど、OSSなしにシステムを構築することはほとんど不可能だ。もしCRAによってオープンソースの開発が停滞したり、利用できるOSSが制限されたりすれば、それはそのままシステム開発のコスト増加や開発期間の長期化、あるいは選択肢の減少に直結する。

したがって、CRAの最終的な内容やその解釈がどうなるかは、今後のソフトウェア開発業界全体に大きな影響を与える。グレッグ・クロー・ハートマン氏をはじめとするオープンソースコミュニティは、EUに対して、オープンソースの特性を理解した上での法案の修正や、責任の範囲を明確にするための具体的なガイダンスの提供を強く求めている。これにより、サイバーセキュリティの目標とオープンソースの持続可能性が両立できるような枠組みが構築されることが期待されている。

システムエンジニアとしてキャリアをスタートするにあたって、技術的な知識だけでなく、このような法規制や国際的な動きがソフトウェア開発やビジネスにどのような影響を与えるかを理解しておくことは非常に重要だ。それは、将来的にどのような技術選択をするか、どのようなプロジェクトに関わるか、そして開発したシステムがどのような法的リスクを抱えるかといった、実践的な判断に直結するからだ。CRAに関する議論は、単なる法規制の話ではなく、現代のソフトウェアエコシステムのあり方、そして未来のデジタル社会の基盤をどう構築していくかという、本質的な問いを投げかけている。