第4回■ぜい弱性対策の考え方 -- 5W1H式ガイドラインを踏まえてRFPを作る

　今回は，前回，前々回の内容を基に，基盤ソフトウエア選定のガイドラインを考えてみよう。

　基盤ソフトウエアの選定は，セキュリティという観点から見ても保守フェーズでのコストに大きく影響する。このため，必要なコストを捻出できないことを理由に，古く危険なバーションを放置している例が少なくない。

　基盤ソフトウエアの選定は，セキュリティ以外の要件から検討される場合が多いが，セキュリティの観点からは以下の項目が必要条件となる。

• アプリケーションの稼働年限を仕様として定義する
• 採用候補の基盤ソフトウエアが稼働年限までのサポートを保証しているか確認する
• 稼働年限までのサポートが保証されない場合は，途中でサポート切れになった場合の代替策を検討して，予算を確保しておく

　アプリケーション発注者としての立場でも，基盤ソフトウエアを自ら選定する場合の注意点は上記と同じである。これに対して開発会社に提案を求める場合には，基盤ソフトウエアが満たすべき要件をRFP（request for proposal）として明示しなければならない。その内容は以下の例のようになる。

ケーススタディ：商用製品とOSSのコンペ

　ここで，商用製品とOSSのコンペになったケースを想定し，それぞれの見積もり額を考えてみよう。RFPの内容が表1のようなもので，アプリケーションの稼働年限として5年が求められているとする。これに対し，X社が提供する商用ソフトウエアを使うというベンダーA社の提案では，製品の買い取り費用に加えて5年分の保守費用が見積もりに含まれる。一方，ベンダーB社のPHP5による開発提案では，基盤ソフトウエアの買い取り費用および保守費用は発生しない。ただ，アプリケーションのライフサイクルの中でPHP6への移行が必要になった場合を考慮して，アプリケーションをPHP6に移行するための費用を見積もり金額に含めてある（図1）。

図1●見積もり総額の比較

　このように比較してみると，アプリケーションのライフサイクル全体で発生するトータル金額を把握することができ，安全なアプリケーションを維持するための予算を確保しやすくなる。トータル金額によるコンペを実施することにより，セキュリティ要件の実現に市場原理を持ち込み，コストを削減できる可能性も広がる。

　最後に，ここまでの説明内容を5W1Hに基づいたガイドラインにまとめておく。