LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

使っているソフトウェアの更新の知らせは届くのに、どの更新を入れればよいか判断できる人がいない。脆弱性（セキュリティ上の欠陥）が見つかったと聞いても、誰が調べるのかが決まっていない——。OSS（ソースコードが公開されたソフトウェア）を組み込んだシステムを運用する現場では、こうした状況が起こりがちです。IPA（情報処理推進機構）の調査でも、OSS活用の課題として人材の不足を挙げた企業は21.5%ありました。^*2 OSSの人材不足とは、OSSの中身を追い、更新や脆弱性への対応を進められる人が社内にいない状態を指します。

この状態でも、専任の部門を置いたり、詳しい人を採用したりするのを待たずに、作業を小さく分ければ対応を始められます。ただし万能な方法ではなく、更新するかどうかの判断まで社外に任せると、誰が決めたのかがあいまいになります。本記事では、OSSを使うシステムを抱える開発・運用の責任者に向けて、調査で多く挙がった課題、人材不足と経営層の理解不足の差、OSSを管理する部門の設置状況、そして外部に委託するときに確認したい点を整理します。

OSSの人材不足とは

いまのシステムは、社内で書いたプログラムだけで動いているわけではありません。画面の部品、データベースへの接続、暗号化の処理など、多くの部分に社外の人が作ったOSSが使われています。部品ごとに新しい版が出て、脆弱性が見つかれば連絡も届きます。そのたびに、どの版に更新するか、更新したときに自社のシステムが動き続けるかを調べる必要があります。

OSSの人材不足で困るのは、判断そのものより前の段階です。OSSの変更内容を調べられる人が社内にいないと、更新の中身を調べる作業が始まりません。調べる人がいなければ、判断する人がいても決めようがなく、更新されないままの部品が少しずつ増えていきます。脆弱性の知らせが来ても対応が後回しになり、担当者が異動や退職でいなくなると、どの部品をどう扱っていたのかも分からなくなります。

この課題を企業に尋ねた調査があります。IPAの「2025年度ソフトウェア動向調査」は、国内企業を対象に、2026年2月9日時点で362件の回答を集め、回答を匿名化し、誰でも使えるデータとして公開しています。^*1 この調査を分析した「2025年度オープンソース推進レポート」は、OSS活用に関する課題を当てはまるものすべて選んでもらった設問（Q9-4）の結果を、表2-9にまとめています。^*2

OSS活用の課題で多いもの

回答の中で最も多かったのは「特になし／OSSを利用していない」で、132件、36.5%でした。^*2 この選択肢には、課題がない企業と、そもそもOSSを使っていない企業が一緒に入っています。課題として挙がった中で最も多かったのは「セキュリティ面の懸念」の93件、25.7%で、脆弱性への対応や更新の管理を含む項目です。その次が「OSSに関する技術的なノウハウや人材が社内に不足している」の78件、21.5%でした。

セキュリティ面の懸念と人材の不足は、差が4.2ポイントと近い値です。この2つは、互いに結びついた問題です。更新や脆弱性への対応に不安があるのは、その作業を担える人がいないからでもあります。どちらか片方だけに対処しても、作業は進みません。対応の手順を決めても実行する人がいなければ止まりますし、人がいても手順がなければ毎回やり方が変わります。

その下には、「社内ルール・ポリシーが存在しない」が20.7%、「商用サポートがない」が19.3%、「OSS利用を推奨する社内文化が育っていない」が18.8%、「ライセンス遵守や知的財産に関する社内体制が整っていない」が17.7%と続きます。20%前後に4つの項目が集まっており、どれか1つが突出しているわけではありません。^*2 表2-9に載っていない「利用部門や発注元がOSSの利用に消極的である」は、公開されている調査結果のCSV（表の形のデータファイル）から集計すると16件、4.4%でした。^*3

企業単位で数え直すと、課題の選択肢を1つ以上挙げた企業は174件で48.1%です。残りは「特になし／OSSを利用していない」が132件、「わからない」が51件、「その他」だけを選んだ企業が5件で、4つを合わせると362件になります。^*3 半分近くの企業が、何らかの課題を抱えながらOSSを使っていることになります。

人材不足と経営層の理解不足の差

挙がった件数が少ない課題には、「経営層の理解・支援が不足している」があります。9件で2.5%でした。^*2 人材の不足の21.5%から引くと19.0ポイントの差があり、件数で比べると78件と9件で、約8.67倍になります。

この差から言えるのは、OSSの活用で課題として挙がるのは、経営層の理解よりも、作業を担う人とルールだということです。ただし、9件という少ない件数だけを取り出して強く言い切ることはできません。

実務に当てはめると、社内の承認を得るための説明資料を作り込むより、更新や脆弱性への対応を実際に担う人を先に決めるほうが、この調査の結果には合っています。

OSSを管理する部門の設置状況

同じ調査は、OSSの管理や活用方針の検討を担う部門についても尋ねています（Q9-3）。^*4 このような部門はOSPO（OSSの管理を担う専任部門）と呼ばれます。「OSPOまたは同等の部門が存在する」と答えた企業は15件で4.1%、「設置を計画中」は10件で2.8%でした。レポートは、設置済みと計画中を合わせて6.9%と記しています。^*2

この設問では「開発を実施していない」と答えた企業が151件、41.7%あります。そこで、開発を実施している211件で集計すると、設置済みは15件で7.1%、計画中は10件で4.7%、合わせて25件で11.8%です。「設置していないかつ設置予定もない」は144件で68.2%、「わからない」は42件で19.9%でした。^*3

開発を実施している企業でも、専任の部門があるのは1割に届きません。多くの企業では、OSSの更新や脆弱性への対応を、開発や運用の担当者がほかの仕事と並行して受け持っていることになります。部門ができるのを待っていると、その間に更新されない部品が増えていきます。まずは部門がない前提で、誰がどの作業を担うかを決めておく必要があります。

どう進めるのか

部門も詳しい人もいない状態から動かすには、作業を4つの段階に分けて考えると進めやすくなります。

1つ目は、止まると困るOSSを1つ選ぶことです。使っている部品をすべて洗い出してから始めようとすると、洗い出しだけで時間が過ぎ、どの部品にも手が付かないままになりがちです。顧客向けのシステムで使っていて、長く更新していないOSSを1つ選び、そこから手を付けます。2つ目は、その部品の更新と脆弱性への対応について、手順書に載せる項目を決めることです。どこで更新の知らせを確認し、何を試し、誰が承認するのかを1枚の文書に書く形にしておけば、担当者が替わっても同じ手順で作業を続けられます。

3つ目は、更新の中身を調べて手順書を作る作業と、更新するかどうかを決める作業を分けることです。調べる作業には時間と技術的な知識が要りますが、決める作業は自社のシステムの事情を知る人でなければできません。4つ目は、調べて手順書を作る作業を、期間を決めて外部に委託することです。「対象のOSS1つについて、更新内容の調査と検証手順の作成を1か月で」のように、作業名と期間で依頼すると、作業量の見積もりも立てやすくなります。

1つ目と2つ目で、対象の部品と手順書に載せる項目を社内で決めておけば、3つ目と4つ目の作業はフリーランスを含む業務委託の人材にも依頼しやすくなります。作業と期間がはっきりしているので、終わったら社内に引き継ぐこともできます。同じ調査の社内ポリシーの整備状況は「社内ポリシーの整備状況と外部の人材に任せる作業」で扱っています。

つまずきやすい点

1つ目は、全体の方針を決めてから始めようとすることです。社内ルール、商用サポート、社内文化、ライセンスの体制と、20%前後に並ぶ課題をまとめて片づけようとすると、方針づくりだけで時間が過ぎていきます。部品を1つに絞り、その部品で手順を固めてから、ほかの部品に広げていくほうが確実です。

2つ目は、更新するかどうかの判断まで委託先に任せてしまうことです。更新によって自社のどの業務が影響を受けるか、いつならシステムを止めてよいかは、社内の人でなければ決められません。委託先には調査の結果と選択肢を出してもらい、決めるのは社内の担当者にしておきます。3つ目は、手順を文書にせず、担当者の記憶に頼ることです。人材が不足している企業ほど、1人の担当者が抜けると作業が止まります。担当者が抜けたときの備えは「担当者の離脱に備える確認」でも扱っています。

外部に委託するときに確認しておきたい点

OSSの更新や脆弱性への対応を外部の人材に依頼するときは、依頼する前に3つのことを決めておくと、やり取りの行き違いを減らせます。まず、対象の部品と作業を名前で書くことです。「OSSの保守」ではなく、「顧客管理システムで使っている○○の、次の版への更新内容の調査と検証手順の作成」のように書きます。次に、期間と、何を受け取れば完了とするかを決めることです。成果物を手順書として受け取るのか、検証まで済ませるのかで、必要な日数が変わります。

最後に、判断をする社内の担当者を決めておくことです。この担当者は、部品の中身に詳しくなくても構いません。自社のシステムのどの業務がその部品を使っているかを知っていれば、委託先の説明をもとに判断できます。

まとめ：OSSの人材不足で確かめておきたい3つの点

OSSの人材不足に対応するうえで、確かめておきたい点は3つに整理できます。第一に、止まると困るOSSを1つ選び、その部品の更新と脆弱性への対応で手順書に載せる項目を決めること。第二に、調べて手順書を作る作業と、更新するかどうかを決める作業を分け、決める側を社内に残すこと。第三に、専任の部門ができるのを待たず、調べる作業を作業名と期間を決めて外部に委託することです。この3点を踏まえておけば、「更新の知らせは届いているのに、誰も手を付けないまま半年が過ぎた」という事態を避けやすくなります。担う人の確保に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：IPA「2025年度ソフトウェア動向調査」（https://www.ipa.go.jp/digital/software-survey/software-engineering/software2025.html）。出典：IPA「2025年度ソフトウェア動向調査」。公開日（2025年11月25日）・最終更新日（2026年5月13日）、回答対象（国内企業）、2026年2月9日時点の回答件数（362件）、オープンデータとしての公開を参照（2026年9月確認）
2. *2　参考：IPA「2025年度オープンソース推進レポート：世界の潮流と日本の現在地」（https://www.ipa.go.jp/digital/kaihatsu/oss/report/report2025/index.html）。出典：IPA「2025年度オープンソース推進レポート」。表2-9（OSS活用に関する課題、2025年度実績）、OSPOの設置状況（設置済みと計画中で6.9%）、年度比較での複合ウェイトバック補正と業種構成の変化に関する記述を参照（2026年9月確認）
3. *3　参考：IPA「2025年度ソフトウェア動向調査 調査結果（選択肢項目文字列）」（https://www.ipa.go.jp/digital/software-survey/software-engineering/j5u9nn000000hkhs-att/software2025-result-data-str.csv）。出典：同調査の調査結果CSV。表2-9に載っていない項目の件数、企業単位の区分、Q9-3を開発を実施している企業に絞った値を集計し、図を作成（2026年9月確認）
4. *4　参考：IPA「2025年度ソフトウェア動向調査 設問一覧」（https://www.ipa.go.jp/digital/software-survey/software-engineering/j5u9nn000000hkhs-att/software2025-c-questions.xlsx）。出典：同調査の設問一覧。Q9-4（OSS活用に関する課題、複数選択）とQ9-3（OSSの管理や戦略策定を担う部門）の設問文と選択肢を参照（2026年9月確認）

Tweet