OSSコミュニティ、脆弱性修正に3カ月弱 - 4年で半数が終了

48カ月が経過してもコミットが行われているなど活動が継続している割合は約50％。6年半を経過すると多くのコミュニティが停止していた。

ただし、今回の調査ではコミットに関わる人数などは考慮されていない点に注意したい。小規模のプロジェクトなど、メインテナンスを一部開発者に大きく依存しているケースも少なくない。脆弱性が報告されながらも開発が終了し、ソフトウェアサプライチェーンへ影響が広がるといった事態も生じている。

今回の研究結果は、韓国で開催されたソフトウェア工学に関する国際会議「APSEC 2023」において12月4日に実施したワークショップ「EEE-OSS 2023」にて発表された。

NTTと九州大学では今回の成果を踏まえ、OSSのコミュニティの開発実態について引き続き研究を進める。開発者はもちろん、働き方のソフトウェア化が進む企業や組織の一般的な従業員にとっても働きやすい環境の整備や、動機付けなどへの応用などにも取り組む。

（Security NEXT - 2023/12/19 ）ツイート