「高木浩光氏、サイボウズは危険な脆弱性を告知しないと指摘」記事へのコメント

純粋に実際の被害の期待値として

[morimon (23732)]

「広くセキュリティホールを告知してクラッカーにも情報を行き渡らせた場合」
と、
「セキュリティホールを内緒にしておいて、そのせいで、多くのユーザがセキュリティホールを放置した場合」
で、実際にどちらが被害の期待値としては大きいのか調査した研究ってないのかな。

実際には、ソフトのシェアとか、セキュリティホールの質とか、あるいは、ソフトウェア更新の難易度などがパラメータになって、単純に結論づけるのは難しいのだろうけど。

まあもちろん、原則的には、情報は広く行き渡らせて、かつ、多くのユーザがセキュリティホールを放置することがないような更新の仕組みをきちんと用意するってのが一番大事なのは間違いないんですが。

Re:純粋に実際の被害の期待値として

[Anonymous Coward]

一般論を言っているのでしょうが、今回は「セキュリティホールを内緒にしておい」たわけではなく、見えにくい場所で告知されていました。

また「広くセキュリティホールを告知してクラッカーにも情報を行き渡らせた場合」についてですが、普通ならセキュリティホールを塞いでから一般に告知するもんです。