トップITセキュリティ記者の眼セキュリティ・ホールは公開しない者勝ち?動画の再生障害のお知らせ:動画の一部が再生できない事象が発生しています。Explorer(IE)はFirefoxよりも安全」。最近,このような話を読んだり耳にしたりする機会が何度かあった。8巻)」のデータが根拠になっている(関連記事)。Reportとは,同社が世界中に設置しているセンサーなどから収集した情報を基に,同社が半年ごとに作成し公表しているレポート。レポートではセキュリティに関するさまざまなデータがまとめられている。その一部として,2005年上半期(1月~6月)に公表された,主要ブラウザのセキュリティ・ホールの数がまとめられている。そのデータによると,Firefoxでは25件のセキュリティ・ホールが公表され,そのうち18件は深刻なものだったという。IEでは13件が公表され,深刻なものは8件だったとされる。確かに,数字だけ見れば,IEのほうが少ない。このレポートが公表される少し前に,Firefoxで深刻なセキュリティ・ホールが見つかっていたことも,Firefoxのセキュリティを疑わせる原因になっているようだ。9月はじめ,Firefoxなどには「IDNバッファ・オーバーフロー問題」と呼ばれる危険なセキュリティ・ホールが見つかった。9月下旬には,このセキュリティ・ホールを突くプログラムが公開されている(関連記事)。1.0.7日本語版がリリースされている。このセキュリティ・ホール騒ぎとSymantecのレポートが相次いだので,「Firefoxって安全なの?」と疑問を抱くユーザーがいても不思議はない。Pro読者なら,上記の「IDNバッファ・オーバーフロー問題」とSymantecのレポートから,「IEはFirefoxよりも安全」と結論付けられないことはお分かりだろう。,「IDNバッファ・オーバーフロー問題」に“匹敵”するようなセキュリティ・ホールはIEにも数多く見つかっている。Symantecのレポートについても,数字はあくまでもベンダーが確認して公表したものに限られている。見つかっていても,ベンダーが公表していなければ数には含まれない。Securityでは,IEに関するセキュリティ・ホールを見つけていることを公表している(詳細は未公表)。これらはMicrosoftからは公表されていないため,Symantecのレポートには含まれていない。Nash氏にインタビューする機会があった(関連記事)。Nash氏は同社のセキュリティへの取り組みを説明する際に,他社製品と同社製品,あるいは以前の同社製品と現在の同社製品における,公表されたセキュリティ・ホールの数の違いに何度も言及した。それを聞いて筆者は,「公表されたセキュリティ・ホールの数を比べることに意味はあるのか」といったことをたずねた。すると同氏は,「もちろん,セキュリティ・ホールの数はその製品が安全かどうかを計る唯一の指標ではない。ユーザーが指摘する点,気にする点であることは間違いない」と答えた。確かに多くのユーザーにとって,公表されているセキュリティ・ホールの数が,ソフトウエアの“安全度”を計る上での指標の一つになるだろう。それ以外に,数字として現れるセキュリティに関するデータはほとんどないからだ。いえ,公表されたセキュリティ・ホールの数だけで,ソフトウエアの安全度を判断されることを筆者はとても懸念する。なれば,公表しない者勝ちになってしまう。不誠実なベンダーが開発したソフトウエアが安全と判断され,積極的に情報を公開するベンダーのソフトウエアが危険とされてしまう。Japanに,Symantecのレポートの感想を聞いてみた。「確かに(比較的)多数のセキュリティ・ホールを公表しているが,すぐに対応している。プロダクト開発担当の吉野公平氏)。筆者もそのとおりだと思う。セキュリティ・ホールが見つかることはある程度避けられない。問題は情報公開と対応の早さだ。できるだけ早く修正版やパッチを公開し,それらの適用の必要性を分かりやすく告知することがベンダーにとっては重要だ。筆者は,FirefoxもIEも,セキュリティ情報を積極的に公開していると思っている。セキュリティ・ホールを隠したがるベンダーは少なくない。第三者が発見し公表しているセキュリティ・ホールに関して,当事者であるベンダーに筆者が問い合わせると,「次期バージョンで修正するから問題ない。無用の混乱を招くからユーザーには知らせない」と回答されたことが何度となくある。いう言葉にも過敏に反応する。筆者は,パッチや修正版の公開前にセキュリティ・ホールの詳細を公表しろといっているのではない。「起こりうる問題と対応策」を広くユーザーに知らせることを「情報公開」といっているつもりだ。いった話をしても,「セキュリティに関することなので,一切公表するつもりはない」の一点張りというのはいかがだろうか。筆者には言わなくてもよいので,せめてユーザーには伝えてほしい。「情報は公開している」というベンダーでも,信じられないくらい“深い”ディレクトリにセキュリティ情報ページを用意しているところもある。トップページからはとてもアクセスできないようなところに置いて,「情報を公開している」と言えるのだろうか。あるベンダーの方からは,「どうして(わが社の製品の)セキュリティ・ホールの記事を書くのか分からない。一度,理由を聞きたいと思っている」という言葉をいただいたこともある。筆者としては,その製品のユーザーの一助になると思って記事を書いているのだが・・・。セキュリティ・ホールが見つからないことに超したことはない。プログラムが肥大化を続ける現状では,なかなか難しいだろう。セキュリティ・ホールを見つける「バグ・ハンター」たちのスキルも向上している。セキュリティ・ホールが見つかることよりも,きちんと対応しないことのほうが問題なのである。セキュリティ・ホールを公表したがらないベンダーの方には,そのことを理解していただきたい。「セキュリティ・ホールは公開しないほうがよい」と思っているのは当事者だけである。ユーザーはその不誠実さを見逃さない。現場の負担軽減を!医療界でのAWS活用法500万社が導入。情報銀行の成り立ち、事例、現状課題やその行方を網羅。経営戦略である以上、「会計」の知識やスキルが欠かせません。