ライセンス調達や管理を取り巻く現在の環境

昨今、企業のIT環境において、クラウドサービスが一般的に利用されるようになってきました。

これはアプリケーションの利用だけに留まらず、ミドルウェアから基盤に至るまで、フルスタックをクラウドサービス化してきているのです。今までは自社のデータセンター内、または委託先のデータセンター内で運用していた「内製」のIT環境が、どんどんと外へ出ていっています。

ライセンスの観点から見た時に、この変化は

買切りライセンス / バージョンアップライセンス / デバイスライセンス / ユーザーライセンス /
サーバーライセンス

から

サブスクリプションライセンス / 利用分課金ライセンス

への変化と言ってもよいでしょう。

この利用の変化によって、当然ながらその購入手法や管理する環境も大きく変わってきています。

ソフトウェアライセンス形態が、クラウドやサブスクリプションへと移行している中、組織においてはその両方を考え、調達し、また管理していく必要があります。特にクラウドとサブスクリプション型の契約では、一時的なコストダウンに惑わされず、組織にとって本当に必要なソフトウェア、ライセンス契約を考え、調達と管理を実行していく必要があります。

ライセンス監査のトレンド

このような利用の変化が起こっている中で、ライセンス監査の現状はどうなっているでしょうか？

実はコロナ禍によって経済がまだまだ平常化をしていない中でも、主要パブリッシャー各社においては積極的にライセンス監査が行われています。

少し前の情報にはなりますが、米国SAM団体である*IBSMAの調査によると、欧米企業においては過去3年間に69%の組織が1回以上のライセンス監査を受けており、48%は1-4回、21%の組織は4回以上受けているという統計も出ています。

*IBSMA

ある大手パブリッシャーに中には、ライセンス契約でセルフオーディット（自己監査）の要求権利を留保しており、この条項に則っての自己監査要求という手法も増えつつあります。

また、以前はその企業のみを対象とする場合や、関連会社を含める場合であっても国内関連会社まで含める場合が多かったのですが、近年は海外の関連会社を含めたグローバル監査というのも増えつつあります。

監査の「対象会社」については、上記の通り関連会社を含めて、また国内だけではなく海外の関連会社も含めて、といったように広がりつつあります。それだけに留まらず、監査の「対象製品」についても広がりつつあります。

オンプレミス利用が主体の環境での監査においては、「インベントリ情報」と「保有ライセンス情報」の突き合わせによっての過不足判定にとどまっておりました。

つまり、「インストールされている製品」に対しての監査が主体であり、インストールされていない製品として対象となってきたのはサーバーへのアクセス権利程度でした。

もちろん、現在のライセンス監査においても基本はこの手法ではありますが、クラウド利用の場合にはユーザーライセンスである場合がほとんどであるので、「ユーザーIDの使いまわし」が行われていないか？という監査も実施されつつあります。

クラウド利用の場合には、多くは「サービス利用」であるので、オンプレミス製品のように「インストールされている製品」というわけではありません。これをどのように管理をしていくのか？は以前の「インベントリ情報」と「保有ライセンス情報」の管理だけでは十分でなくなってきているのが実情です。

ライセンス購買とライセンス管理の相関関係

このように新しいライセンス監査の手法が取り入れられていく中で、ライセンス購買の最適化と、それを実施することによってライセンス管理にどのような影響を与えるのか？について見ていきたいと思います。

クラウド利用の拡大などのIT環境の多様化によって、ライセンス調達する手法も様々な形態が提供されています。そのような中では同じソリューションやソフトウェアを利用する際にも、調達ライセンスの形態による特性があり、またメリットとデメリットが存在します。

現在では以下のようなライセンス契約の多様化がされてきています。

特に現在では各大手パブリッシャーはクラウド系の契約を強力に推進しております、この流れは当面強まりこそすれ、弱まることはないと思われます。以下は一般的なクラウド契約の特徴となります。

これらはオンプレミス製品利用時にはなかった特徴であり、この特徴に合わせた管理が必要になってくるということになります。

組織に求められる必要なライセンス管理とは？

このようにクラウド契約やクラウドサービス利用が進んでいくことによって、その管理も多様化をしていきます。その中で「ライセンス管理」をどのような粒度で実装していくことがよいのでしょうか？

ライセンス管理とは「IT資産管理」の上で重要な事項であり、この「IT資産管理」は「コンプライアンス遵守」の一環でもあります。

昨今コンプライアンス遵守は企業の命題の一つになっている中で、その項目の1つになっているライセンス管理も当然重要であります。

ただ、「IT資産管理」もクラウド移行に併せて過渡期でありますので、一足飛びに「完璧」なライセンス管理へ移行していくことは無理が生じます。「コンプライアンス遵守」としての「IT資産管理」、そしてその中の「ライセンス管理」を完全に実装しようするにはある程度の時間を要します。

では、まずはどうしていくのが企業にとってはよいのでしょうか？まずは「ライセンス監査対策」としての「ライセンス管理」を行うことをおすすめしています。

ライセンス監査対策として必要十分なライセンス管理をまずは実装し、その後国際標準規格であるISO19770-1に規定をされている管理成熟度を達成するべく管理体制と整備していくことがよいでしょう。

※ISO19770-1とは
ソフトウェア資産管理（SAM：Software Asset Management）に関する国際標準規格としては、国際標準化機構（ISO：International Organization for Standardization）と国際電気標準会議（IEC：International Electrotechnical Commission）との合同技術委員会である JTC1（Joint Technical Committee 1 for Information Technology）配下の分科委員会 SC7（Subcommittee）下の作業部会である WG21（Working Group 21）において策定が進められている ISO/IEC 19770 があります。その中でプロセスの要求事項を規定したものが ISO/IEC 19770-1になります。
https://www.iso.org/standard/68531.htmlでドキュメントを確認頂けます。

参考：IT資産管理評価認定協会(SAMAC)
https://www.samac.or.jp/docs/itsisan_kanrikijun20200908.pdf
https://www.samac.or.jp/docs/itsisan_hyoukakijun20200908.pdf

パブリッシャーごとでのライセンス管理のポイント

「ライセンス監査対策」をする上で、各パブリッシャーでどういったライセンス管理がポイントになるのか？についていくつか触れていきたいと思います。

OSやOAソフトウェアの外資系大手パブリッシャーでは、ユーザーのクラウド移行が進んでいっています。しかしながら、未だオンプレミスでの利用も継続しており、クラウド移行ともあわさって管理の項目や範囲が多数および多岐に渡っています。そのような状況においては以下のような注意点が必要となってきます。一部については以前と同様の注意点にはなってきます。

■OSやOAソフトウェアの外資系大手パブリッシャー ライセンス管理のポイント

■保有の証明不可 / エディション混在による数量違い / CALの不足とバージョン違反 / User CALとDevise CAL混在による数量違い / マルチプレキシング違反 / プロセッサ数やコア数違反 / ユーザーライセンスをデバイスでの利用 / 共用メールボックスの利用

オンプレミスで利用をしていたソフトウェアがクラウドサービスに移行することで、よくある変更点がデバイスライセンスからユーザーライセンスへと切り替わる点です。ここで注意するポイントは共用デバイスです。

今まではデバイスライセンスであったので、共用デバイスにデバイスを割り当てて管理をしていれば、そのデバイスをどのユーザーが利用したとしてもライセンス許諾上は問題ありませんでした。

よって、デバイスだけを管理しておけば、どのユーザーが利用しているのか？という点を管理する必要はありませんでした。

しかしながら、ユーザーライセンスに変更になったことによって共用デバイスでのその共用デバイスを誰が利用するのか？ということを把握しないとなりません。

このような点もポイントの一つとなってきます。

データベースなどのミドルウェアを提供する外資系大手パブリッシャーにおいては、引き続きデータベースライセンスについての管理がポイントです。以下の注意点が挙げられますので、ここにポイントをおいて管理をすることをおすすめいたします。

■ミドルウェアを提供する外資系大手パブリッシャー ライセンス管理のポイント

■エディション違反 / フルオプションインストール / CPU型番不適合 / コア数不適合 / 保守契約範囲違反 / NUP(Named User Plus)数不一致/ Partitioning違反 / クラウド環境利用・仮想化環境でのライセンス不適合（Partitioning違反と同じ指摘）/ フェイルオーバー構成違反 / スタンバイ、リモートミラーリング違反

さて、これらをポイントにして管理をするというのはどういうことなのか？ということになりますが、端的に申し上げれば、これらの情報について「把握」をしておくというのが一番のポイントになります。

「管理」とは言い換えますと「情報の整理」とも言うことができます。どういったソフトウェアが、どの場所で、どのような形態で利用されているのか、という「情報」を把握することです。

「管理する」というととてもハードルが高く思えますが、デバイスや利用形態などの利用情報を把握しておくことで、いざという時の役に立ってきます。
例えば、どんなアプリケーションがインストールされているのか？そのデバイスのCPU数やコア数はいくつなのか？といったような情報がそれにあたります。

上記のような注意点に関連する情報を把握することからはじめることをまずはおすすめいたします。

ライセンス条項の変化にどのようにライセンス管理を適応させるか？

クラウド利用においてはサービス提供者側、つまりはパブリッシャー側がかなりの権利を留保しています。実際の利用規約を見てみましょう。

下記は検索エンジンで有名な外資系大手パブリッシャーのクラウドサービスの利用規約からの抜粋になります。

（https://workspace.google.co.jp/intl/ja/terms/2013/1/premier_terms.htmlより抜粋）

こちらはOSやOAソフトウェアを提供する外資系大手パブリッシャーのクラウドサービス利用規約からの抜粋になります。

（https://www.microsoft.com/licensing/terms/product/ForOnlineServices/MCAより抜粋）

２社の利用規約を例に抜粋しましたが、いずれも簡潔に申し上げると「サービス提供者の事情で条件をいつでも変更できる」ということになります。

バージョン固定や買切りのソフトウェアのライセンスでは、このようなことは発生をしません。インストール時に同意をするライセンス条項に従って利用することが求められますが、その条項が利用期間中に変更になることはありません。

クラウドサービス利用においては、このような利用条件変更に対しても迅速に対応する管理が求められるということになります。

どのようにして適用できるのか？ということですが、当然どのような変更をしてくるのか？ということをユーザー側は予想できません。予め準備をすることは不可能です。

では、どうするのか？ですが、各パブリッシャーはこのような利用規約やライセンス条件というのをWebサイトなどで公開をしています。あるパブリッシャーは毎月条項が追加や変更されています。

このような情報をタイムリーに収集をし、変更があった、もしくはある場合にはどのような影響が自社の環境に及ぶのかを分析し、必要があれば変更などの実施をしていくことが重要になります。

インパクトのある大きな条件変更をする際は、猶予期間などが用意されることが一般的ですので、いきなり今日から変更しなければならない、ということは少ないかと思われます。

ライセンス管理におけるツールの必要性

前述しました通り、「情報把握と整理ということがライセンス管理においては重要になってきます。これを一言でいえば、「可視化」です。「現状把握」と置き換えることもできます。

ライセンス管理やライセンス最適化契約を実装していく上で、これがスタートポイントであり、かつ最も重要な点です。では、どのようなことを可視化していくのか？ということですが、具体的には下記の2点です。

所有ライセンスの可視化

・ライセンス購買やライセンス契約の「棚卸」を行い、有効なライセンスの数量や、購入されたプログラムなどを可視化していく

利用ライセンス、利用ソフトウェア、サービスの可視化

・所有ライセンスが、どのパソコンに対して利用されているのか？
・利用されているライセンスで、どのソフトウェアを利用しているのか？
・どのユーザーに、どのようなサービスを割り当てているのか？

これらの可視化つまりは現状把握を行い、最適化の可能性と方法論を検証していくことが重要です。

これを行っていく中で重要な役割を果たすのがインベントリの取れるIT資産管理ツールになります。

インベントリツールとは、「パソコンやサーバーにインストールされているソフトウェアやプログラム、IPアドレス、ハードディスク容量などのハードウェア・ソフトウェアに関する情報取得を支援する」アプリケーションです。

現在どのようなソフトウェアを利用しているのか？の情報を把握する大きな助けとなってきます。まずは情報把握のためのインベントリツールの導入、または活用を検討頂くことが必要になると思います。

もしライセンス監査の対象になった場合には

どのような企業であってもライセンス監査の対象となり得ます。もしライセンス監査の対象になった場合や、事前にライセンス監査対策するためのお役に立つホワイトペーパーを用意いたしました。

ライセンス監査がどのようなプロセスで実施されるのか、その場合に必要な情報の例などをまとめたホワイトペーパーとなります。

是非お役立てください。