FOSSA

サンフランシスコでKevin Wangが創業したFOSSAは、CVEよりもライセンスに重点を置いたソフトウェア構成分析サービスである。パッケージマネージャのマニフェストとロックファイルを読み、依存ツリーを推移的に解決して、クローズドで出荷するはずの製品にGPLのコンポーネントが入り込んだ瞬間を検知する。出力されるのはレポートや帰属表示、そしてSPDXまたはCycloneDX形式のSBOMだ。

2018年には思わぬ注目を集めた。WangがCommons Clause、つまりソフトウェアをサービスとして販売することを禁じる付帯条項の推進に関わったためである。ライセンスを調べる会社がライセンス環境を調べにくくする側に回ったことは、当然ながら指摘された。