政府機関が連邦SAMフレームワークの導入に苦労する理由

連邦政府機関は、世界的に最もソフトウェア環境の中で業務を行っており、商用、オープンソース、オンプレミス、クラウドベースのツールを多様に組み合わせて活用し、ミッションを遂行している。このソフトウェア エコシステムを効果的に管理することは、もはやオプションではなく、業務の完全性を維持し、サイバーセキュリティを確保し、財政責任を果たすために不可欠である。

連邦政府のソフトウェア 資産管理（SAM）フレームワークには、次のような実績のあるものがある。 ISO/IEC 19770, NIST IT資産管理ガイドラインや、以下のような指令があるにもかかわらず メガバイト法などがあるが、多くの機関はまだ効果的に導入していない。このような導入の欠如は、ソフトウェア 無駄を削減し、コンプライアンスを確保し、サイバーセキュリティを強化する取り組みを阻害している。一般的な障壁としては、リソースの制約、サイロ化されたシステム、集中化されたSAMガバナンスの不在などが挙げられる。

ライセンスで迷う連邦政府の問題

監察総監室（OIG）の最近の報告書は、環境保護庁（EPA）に対し、ソフトウェア 免許目録の近代化を促した。OIGは、説明責任と可視性における重大なギャップを強調し、SAM戦略にとって不可欠な基盤である、ソフトウェア 認可データの記録システムをまだ指定していないことを指摘した。

"ソフトウェア 購入とライセンスデータの完全かつ正確なインベントリがなければ、CIAはネットワークにインストールされたソフトウェア 説明責任と可視性を欠いている。"

この課題に直面しているのはEPAだけではない。数多くの連邦機関が、一元化された権威あるライセンス目録を持たずに現在も運営されている。エンタイトルメントと使用状況を追跡する基盤がないため、これらの省庁は、コンプライアンス違反、非効率、 および不必要なコストに対して脆弱なままである。

実績のある連邦政府SAMフレームワーク、不十分な実装

ISO/IEC 19770-1 規格は、ライセンスの追跡、エンタイトルメント管理、プロセスの成熟度、継続的改善など、包括的な SAM の実践について概説している。SP 1800-5 や SP 800-53 などの NIST 出版物は、サイバーセキュリティと IT ライフサイクルガバナンスの強化における SAM の役割をさらに強調しています。

これらの連邦政府のSAMフレームワークは、成熟し、実地試験が行われ、民間部門で広く採用されている。しかし、連邦政府内での採用はまだ限られている。そのギャップは、フレームワークそのものにあるのではなく、それを効果的に導入する各省庁の能力にある。

未利用の主な理由

• 専任リソースの不足： 2024年のGAO報告書によると、いくつかの機関は、 ソフトウェア ライセンスを分析するための内部の専門知識が不足しているか、あるいは正式なSAM機能が整備されていないことを認めた。責任は調達、サイバーセキュリティ、法務、ITの各チームに分散していることが多く、その結果、責任の所在が不明確になり、実行に一貫性が欠ける事態を招いている。
• 可視性の低さに起因する予算超過：政府機関・民間企業を問わず、実に45％の組織が、ライセンスの使用状況や利用権限に関する可視性が不十分なため、ソフトウェア の予算を超過しています。正確な使用状況データがなければ、各機関はニーズを確実に評価したり、ソフトウェア のポートフォリオを合理化したりすることができません。
• 予算上の制約と競合する優先事項：SAMの取り組みは、サイバーセキュリティや近代化といった、より差し迫った資金配分の優先事項に押されて後回しにされがちです。SAMは長期的なコスト削減をもたらすものの、各機関は、ISO 19770のようなフレームワークを導入するために必要なツールや人材への初期投資の正当性を説明するのに苦労しています。
• サイロ化されたシステムと一貫性のないデータ： ソフトウェア の在庫情報は、多くの場合、スプレッドシート、古いCMDB、連携していないベンダーツールなどに分散しています。ISO 19770-2では、一貫性のあるソフトウェア による識別タグ付けが求められますが、これは一元化され正規化されたデータがなければ、ほぼ不可能です。
• エンタープライズレベルのSAMガバナンスの欠如：追跡機能を備えた機関であっても、事業部門全体でSAMポリシーを徹底するためのガバナンス体制が整っていないケースが頻繁に見られます。一元的な管理が行われないと、調達に一貫性がなくなり、ライセンスの重複利用が生じ、機関横断的な最適化は実現できません。

断片化されたSAMの結果

連邦政府のSAMフレームワークの運用に失敗した機関は、主に3つのリスクに直面する：

• 財務上の無駄：冗長な購入や十分に活用されていないライセンスにより、運用・保守（O&M）コストが膨らみ、ミッションクリティカルな優先事項から資金が流出する。
• 監査の脆弱性：不完全な資格記録は、ベンダーの監査や規制当局のレビューにさらされる可能性を高める。
• セキュリティギャップ：不正確なソフトウェア 管理されていないアプリケーションは、攻撃対象領域を広げ、ゼロトラスト・イニシアチブの妨げとなる。

Open iTコンプライアンスを強化

複雑なIT環境向けに構築されたソフトウェアライセンス管理ソリューション - Open iT Open iT-のような複雑な IT 環境向けに構築されたライセンス管理ソリューションは、連邦政府機関が SAM フレームワークを運用する上で重要な役割を果たします。

• データの正規化と集計： Open iT は、ライセンス管理システム、ログファイル、クラウドシステム、ユーザーアクティビティなど、さまざまなソースからの利用データを収集・正規化し、統一されたインベントリとしてまとめます。これにより、ISO 19770-1への準拠が支援され、情報に基づいたガバナンスに必要な可視性が確保されます。
• ライセンスの照合と最適化： Open iT は、実際の使用状況とライセンス割当を照合することで、ライセンスの照合と最適化をサポートします。これにより、ソフトウェア の適切な規模設定が可能になり、データに基づいた洞察を通じて交渉力を強化します。
• ガバナンスとレポート作成：カスタマイズ可能なダッシュボードと分析機能を備えたOpen iT は、ガバナンスチームがポリシーを徹底し、利用動向を追跡し、連邦政府の規制に準拠したコンプライアンスレポートの作成を支援します。
• 専門家によるSAM管理サービス： Open iTのSAM管理サービスは、専門家主導のソフトウェア ライセンス追跡、コンプライアンス分析、および一元化されたデータ管理を提供することで、連邦政府機関がISO/IEC 19770などの規格を実務に反映できるよう支援します。これにより、継続的な監査対応体制が確保され、コンプライアンス違反のリスクが低減されるとともに、社内のリソースをより付加価値の高い業務に振り向けることが可能になります。

前進する実行のギャップを埋める

利用可能なガイダンスや指令があるにもかかわらず、ほとんどの連邦政府機関は、構造化されたソフトウェア 資産管理のメリットを実現するには程遠いままである。ツールやフレームワークは存在するが、リーダーシップのコミットメント、ガバナンス、実行支援こそがギャップを埋めるものである。

推薦する：

• 全社的な権限を持つ SAM プログラムオーナーを任命する。
• マネージドSAMサービスを活用して、フレームワークの実装とトレーニングをブートストラップする。
• マルチソースのデータ統合、ライセンス利用状況のモニタリング、エンタイトルメントの照合をサポートするOpen iT ようなツールに投資する。
• SAMを調達、サイバーセキュリティ、IT運用と統合し、統一されたガバナンス・アプローチを確保する。

連邦政府のSAMフレームワークは自前で導入しない

基準は明確だ。技術も存在する。不足しているのは、ガイダンスと実行の間の運用上の橋渡しである。効果的なSAMとは、単なるコンプライアンスではなく、インテリジェンス、敏捷性、財政規律をもってIT資産を管理する権限を機関に与えることである。

Open iT は、SAM を大規模に運用するために必要な可視性、ツール、専門知識を提供し、断片化されたライセンスデータを実用的なインテリジェンスに変換します。

あなたのソフトウェア 光を。ライセンスの混沌を明晰に変えるために、 Open iTご連絡ください。