出典：SiliconAngle
現代の企業システムは、その大部分をオープンソースソフトウェアの上に築いている。Linuxカーネル、Apache、OpenSSL——名前を挙げれば切りがないが、これらは世界中のボランティアや有志の開発者たちが無償で書き、公開してきたコードだ。企業にとっては恩恵そのものだが、長年にわたって解決されないままの問題が一つある。脆弱性が見つかったとき、誰が責任を持って直すのか、という問いだ。
オープンソースのエコシステムにはメンテナーと呼ばれる管理者がいる。しかし彼らの多くはボランティアであり、大企業のセキュリティ要件に対応しきれるリソースを持っていない。パッチが出ても、それが最新バージョンにしか対応していなかったり、大規模な設定変更を伴うものだったりすれば、企業側で実際に適用することは容易ではない。結果として、既知の脆弱性を抱えたまま運用が続くという事態が業界全体で常態化してきた。
2021年に発覚したLog4Shellの脆弱性は、この問題の深刻さを世界に知らしめた一件だった。Javaのログライブラリという、あらゆる企業システムに組み込まれた部品に致命的な欠陥が見つかり、世界中のセキュリティチームが対応に追われた。あのとき問われたのは、「なぜ誰もここを管理していなかったのか」という点だ。
その答えはシンプルで、管理する主体が存在しなかったからだ。オープンソースの利便性と安全管理の責任は、ずっと分離されたまま放置されてきた。利用する企業は無数にあっても、体系的にセキュリティを維持する仕組みは存在しなかった。
IBMとRed Hatが2025年5月に立ち上げた「Lightwell」は、そのギャップを埋めるための取り組みだ。50億ドルの初期コミットメントと2万人のエンジニアを投じ、オープンソースソフトウェアに潜む脆弱性を特定・修正する体制を整えた。そこに2026年6月、世界最大のプロフェッショナルサービス企業であるDeloitteが参加することが発表された。
Deloitteが担うのは、技術の部分だけではない。企業がどのオープンソースコンポーネントを使っているかをマッピングし、継続的に管理するというオペレーションの部分だ。自社のシステムに何が組み込まれているか正確に把握できていない企業は多く、その「見えていない部分」こそが攻撃の入口になる。
誰が得をするかは、規制業界を見れば明確だ。金融・医療・インフラなど、セキュリティ基準への準拠が義務付けられていながら、オープンソース管理の体制を自前で構築できていない組織が、今回の取り組みの主な対象となる。規制当局への侵害報告支援まで含めたサービスとして設計されている点に、その狙いがはっきりと出ている。
オープンソースの脆弱性管理は、これまで「誰かがやるべき問題」として宙に浮いてきた。IBMとDeloitteが組んだことで、それが「ビジネスとして成立するサービス領域」に着地しようとしている。
3行まとめ
- IBMとRed Hatは2025年5月、オープンソースの脆弱性を特定・修正する取り組み「Lightwell」を50億ドルの初期コミットメントと2万人のエンジニアで立ち上げた。
- 2026年6月、2025年度売上高705億ドルの世界最大プロフェッショナルサービス企業であるDeloitteがLightwellへの参加を発表した。
- Deloitteは企業のオープンソースコンポーネントのマッピング・インベントリ管理・パッチ適用検証・継続的メンテナンス支援を担い、規制業界の組織を優先対象とする。
※以下は詳細
Lightwellとは何をする取り組みか
IBMとRed Hatが2025年5月に立ち上げたLightwellは、企業がソフトウェア基盤として利用するオープンソースプロジェクトのセキュリティ上の脆弱性を検出・修正することを支援するイニシアチブです。50億ドルの初期コミットメントのもと、2万人のエンジニアがこの取り組みに投入されています。
オープンソースは現代の企業システムのほぼすべてに組み込まれていますが、メンテナーが発行するパッチがそのまま動作しないケースが多く存在します。最新バージョンにしか対応していないパッチや、大規模な設定変更を必要とするアップデートがその典型です。Lightwellではこうした状況に対応するため、IBMとRed Hatがパッチの自動検証機能を提供し、セキュリティアップデートが意図した通りに機能することをクライアントが確認できるよう支援します。
Deloitteが加わることで何が変わるか
Deloitteは18世紀半ばに英国で創業した会計事務所を起源に持ち、現在は2025年度年間売上高705億ドルを誇る世界最大のプロフェッショナルサービス企業です。企業インフラの脆弱性スキャンや侵害検知を手がける大規模なサイバーセキュリティ事業も持っています。
今回の参加により、DeloitteはIBMと協力して共同顧客がどのオープンソースコンポーネントを利用しているかをマッピングし、ソフトウェアの変更に合わせてそのインベントリを継続的に更新します。自社アプリケーションに脆弱なオープンソースモジュールが含まれていることに気づかないという事態を防ぐことが目的です。
パッチの適用と有効性の検証プロセスはDeloitteが担当します。加えて、クライアント企業のオフィスに常駐する「フォワード・デプロイド・エンジニア（FDE）」と呼ばれるエンジニアチームをアサインし、脆弱性の修正にとどまらずソフトウェアの継続的なメンテナンスも支援します。
規制業界への対応と通知の仕組み
この取り組みは「規制されたソフトウェアサプライチェーン」に焦点を当てており、高度に規制された業界の組織を優先対象としています。IBM・Red Hat・Deloitteの3社は、企業が規制当局への侵害報告を行う際の支援も提供します。
また、新たな脆弱性を公開する前にオープンソースプロジェクトのメンテナーへ事前通知する仕組みも設けています。これにより、脆弱性情報がハッカーに渡る前にパッチをリリースできる体制を整えることを目指しています。
全体まとめ
IBMとRed Hatが主導するオープンソース脆弱性対応の取り組みLightwellに、世界最大のプロフェッショナルサービス企業であるDeloitteが参加しました。Deloitteはオープンソースコンポーネントのマッピングとインベントリ管理、パッチ適用と有効性検証、FDEによる継続的なソフトウェアメンテナンス支援を担います。規制業界の組織を優先対象とし、規制当局への報告支援およびオープンソースメンテナーへの事前通知を含む取り組みとして展開されます。