「DevOpsを実践してもビジネスの成果につながらない」をどう解決する？ IDCが提言

IDCの調査によると、国内企業のDevOps実践率は59.3％に上り、DX推進企業ほどDevOps実践率が高いことが分かった。ただし、DevOpsを実践する企業が必ずしもビジネス上の利益を受けているわけではない。ビジネスの成果を得るためには何が必要か、IDCのアナリストが提言する。

[金澤雅子，ITmedia]

　IDC Japan（以下、IDC）は2023年1月10日、国内企業のDevOpsの実践状況に関する調査結果を発表した。

　IDCは、DevOpsを「企業がスピードや生産性、品質などのビジネス能力を高めることを目標とし、ビジネスを支えるソフトウェアの開発から運用までのプロセスを通して、開発やテスト、運用、ビジネスなどに関わる複数の組織や担当者が共同で取り組むこと」と定義している。

　同調査は、国内企業484社のDevOpsに対して理解のあるIT組織（開発、運用）の責任者や管理者、担当者（リーダークラス）を対象に2022年11月に実施した。目的はDevOpsの実践状況、開発手法、開発プラットフォーム環境、採用技術など、国内企業におけるソフトウェア開発や運用についてのユーザー動向を探ることだ。近年注目が高まっているローコード／ノーコード開発プラットフォームやITオペレーション分析（ITOA）／AIOps、オープンソースソフトウェア（OSS）の利用と管理状況、SBOM（Software Bill of Materials）の利用などについても調査した。

DevOpsの取り組みを成果につなげている企業が実践していることとは？

　IDCはDevOps実践状況について2017年から調査している。IDCによれば、DevOpsの実践率は年々上昇し続けているという。

　今回の調査では、国内企業のDevOps実践率は59.3％となった。「DevOpsの実践を計画または評価、検討している」と回答した企業は21.7％だったことから、IDCはDevOpsに取り組む企業は今後も増加するとみている。

国内企業におけるDevOpsの実践状況の推移（出典：IDCのプレスリリース）

　また、回答企業のDX（デジタルトランスフォーメーション）進捗段階（DX定着化段階、DX導入段階、DX計画段階、DX未着手）別にDevOpsの実践状況を分析したところ、DX定着化段階にある企業ではDevOpsの実践率が79.2％、DX導入段階にある企業では63.4％だった。DXが進行している企業ほどDevOpsの実践率が高い傾向にあることが分かった。

OSS管理には課題も

　OSSはソースコードが公開されていて無償利用、再配布可能なソフトウェアの総称だ。

　OSSは、現在さまざまな産業の製品やサービスのソフトウェアに利用されている。一方で、OSSの脆弱性を狙ったサイバー攻撃も増加しており、OSSの管理の在り方が問われている。

　同調査によると、「OSSを利用している」と回答した企業のうち85.8％が「OSSの利用承認プロセスや管理ルールを構築している」と回答した。そのうち「自社の製品・サービスやシステム開発のサプライチェーンを構成する企業までを含み、プロセスやルールを構築している」と回答した企業は30.1％、残りは「自社」（全社）（36.1％）や「各事業部・部門」（19.7％）での管理にとどまっていることが分かった。

国内企業におけるOSSの利用選定／承認、管理ルールとプロセスの状況。n＝366（OSSを利用している企業が回答）（出典：IDCのプレスリリース）

　さらに、OSSのライセンスや脆弱性管理に有効なツールとされているSBOM（Software Bills of Materials：ソフトウェア部品表部品表）の利用について尋ねる設問では、「SBOMを導入している」と回答した企業は10.9％、「SBOMの導入を計画している」と回答した企業は20.8％、「SBOMの導入計画はないが、評価、検討している」と回答した企業は27.6％だった。

　一方、サプライチェーンを構成する企業全体を含むOSSの管理プロセス、ルールを構築している企業の中で「SBOMを導入済み」と回答した企業は30.9％、「導入を計画している」と回答した企業は32.7％だった。サプライチェーンを含むOSSの管理を実践している企業では導入率が高い傾向が見られた。

　IDCの木村伸一氏（ソフトウェア＆セキュリティ リサーチマネージャー）は、「国内企業におけるDevOpsの実践率は上昇し続けているが、DevOpsを実践する企業の増加に比例してビジネス上の効果を得る企業が増えているわけではない。DevOpsの取り組みをビジネス成果につなげている企業は、DevOpsの実践を継続するとともに、組織内でその実践規模を拡大、浸透させている」と指摘する。

　DevOpsを実践している企業のうち、OSSの脆弱性に対する取り組み（OSSのソースコード解析やリポジトリ照合による脆弱性診断、CI／CDパイプラインへのコードスキャン組み込みなど）を実施している企業は約3割程度だった。これを受けて木村氏は、ITサプライヤーに求められるのは「ユーザー企業の内製化とOSSのさらなる利用拡大を見据え、DevOpsの一連のプラクティスにおけるセキュリティ強化に取り組んでいくことだ」と提唱した。