ここ最近ひっそりとやっていたのですが、実はGitHub Secure Open Source FundのSession 4にActixのメンテナーとして参加していました。
日本ではまだまだ参加者は少なそう、かつ認知度もそこまで高くなさそうでもあるため、今後参加を検討している方の参考になればと思い今回筆を執っています。
また、Session 4の内容をベースにこの記事は書かれています。最新の状況などについては公式のものを必ず参照してください。
GitHub Secure Open Source Fund is 何？
GitHubをはじめとする企業をスポンサーとして、セキュリティをテーマにOSSメンテナーを支援してくれるプログラムです。公式アナウンスメントはこちら。
支援はいわゆる講義的なものと経済的なものという大きく2つの方向で行われます。
前者では3週間ほどにわたってGitHubのセキュリティ部門の方や外部講師の方からセキュリティのあれこれを学ぶ会をやるというものでした。自分としては知らなかったことも結構あって学びの機会になりました。GitHubの機能としてセキュリティ関連のもの意外とあるんやな～とかとか。 ただ注意点として講師や参加者の地域割合から基本欧州や北米のタイムゾーンをベースに調整されると思うので（Session 4は実際そうでしたし、これからも基本そうなるんじゃないかと勝手に思っています）、JSTからの参加は何かを犠牲にしなければならない可能性が高いです。眠い目を擦って頑張るか、有給休暇などでうまく調整するか、適応力が試されます。自分は現職がフルフレックスだったおかげで何とかなりました。感謝。
後者はシンプルに経済的な支援として合計$10,000をもらえます。結構な額。冷静に考えて講義も受けられるしその上経済的にも支援してもらえるの、普通逆じゃない？みたいな感はあるのですが、この支援により一定セキュリティ向上に時間を割けるように、みたいな側面もあるのかなと思っています。何にせよありがたい話です。
どうやって参加する？
公式サイトにある “Apply now” から参加を申し込めば一旦OKです。
参加資格としては成人しててOSSメンテナーであれば基本大丈夫です、厳密なものは公式サイトを参照してください。 フォームにも記載がありますが、一つのプロジェクトについて複数メンテナーでの参加も可能です。上記で挙げたタイムゾーン問題の解決策の一つとして複数人で参加するというのも手かもしれません。
申し込み自体はいつでも受け付けていそうですが、Sessionと呼ばれる期間の区切りがあってそれごとに審査されていそうなのでその点はご留意ください。 これは過去のブログでも言及されていたので公開しちゃっていいと思いますが、うまくいくと軽いインタビューへの参加とプロジェクト紹介のための紹介動画の提出を求められます。基本は案内される通りに進めていれば問題ありません。 プロジェクトを通してになりますが、インタビュー含め発話を伴う英語コミュニケーションが発生します。自分はこれを苦手とする側の人間だったので頑張ってイメトレして乗り切りました。
無事審査に通れば晴れてあなたもプログラムの一員です。
Actixの成果
ここでは今回のプログラムを通してActixで取り組んだことをざっとまとめています。これらは講義を受ける→そのトピックに関連したアウトプットを出す（宿題）という流れから生み出されたものになります。 なお、講義のテーマはSessionごとに変わり得るので、あくまで参考程度にお願いします。
- IRP(incident response plan)の策定
- security.mdの策定
- Actions security hardening
- Zizmorの導入
- Actions lockfileの導入
- secret/code scanningの有効化
- GitHub organization設定の見直し
その他にもthreat modelなど一般的なセキュリティ概念の講義もありました。繰り返しになりますがこの講義を受けられるだけでもめちゃワースだと思います。 さらに各講義のあとにQ&Aタイムがあるので直接講師の方に質問することもできますし、その場で浮かばない場合は後ほどテキストで尋ねることも可能です。なんと手厚いサポートでしょう。
また学べるものとはちょっと趣旨が異なりますが、得られるものとして他OSSメンテナーやGitHubberとのネットワーキングというものがあり、これは個人的に今回のプログラムで最も嬉しいなと感じたものでした。 OSSでのセキュリティまわりの取り組みは往々にして密やかに行われます。 他のプロジェクトがどうやってセキュリティレポートに対応しているのか？AI-generatedなあれこれをどううまくハンドリングしているのか？など、相談も難しく何が正解かベストプラクティスか分からない状況も多々あると思います（メンテナーが少ないプロジェクトでは特に）。 そういった中で臆さず質問・相談できたり、他のOSSメンテナーがどう考え対応しているのかを窺い知ったりできる場というのはとても貴重です。 あとは、個人的に利用している・知っているOSSのメンテナーが同じ空間（バーチャルだが）にいるというだけでもわくわくしますね。ファンボの顔が出てきてしまう。
おわりに
以上がざっくりとGitHub Secure Open Source Fundの説明と自分の体験記でした。もうちょっとかっちりしたものを読みたい方はぜひこのブログの英語版もどうぞ（日本語版では英語版に書いてないことを崩して書いています）。 総合的に見て今回参加できてよかったな～と個人的には思いましたし、もし気になっているOSSメンテナーの方がいらっしゃればぜひapplyしてみてほしいです。
また、この場を借りてこのような機会を用意してくださったGitHubの方々、スポンサーの方々（Funding Partners/Ecosystem Partners）、Microsoft for Startupsの方々にお礼申し上げたいと思います。ありがとうございます！
このブログで網羅的に色々書けているわけではないので、もし何か気になることなどあればお気軽にご質問など投げてください（何らかの連絡手段で）。 いつでも相談に乗ります！