失敗を公表することに抵抗を感じない人はいないだろう。ともすれば責任追及に終始しがちな今の世の中では、なおのこと。が、それでも失敗を公表しなければいけない大切な理由がある。ひとつは「被害を最小限に抑えるため」、もうひとつは「同じ失敗を繰り返さないため」だ。今回は、ひとつ目の”理由”について考えてみよう。
・早く伝えて
このロジックは、とても単純だ。あらゆるバッドケースを想定し、それらを排除する手立てを講ずればよい。たとえば個人情報が流出した可能性があるのなら、早急に該当者を特定し、当人に事情を説明する。流出そのものの確認や回収ももちろん大切だが、まっ先にやるべきことは、当人に知らせることである。
もし信用情報まで含まれている可能性があるのなら、直ちにしかるべき措置をとらなければいけないし、そうでなくても、いくばくかの心構えがあれば、不意打ちを食らうよりもダメージは少なくてすむ。該当者の特定に時間がかかる、人数が多い、流出してるかどうかも分からない…そのような場合には、ホームページやメディアを使って呼びかけるのも有効な手段だろう。何があったのかを伝えれば、心当たりのある人は気にとめてくれる。くれぐれも「無用な混乱を招かないように」などとは考えぬこと。取り越し苦労ですんだら、「よかったね」で終わらせればよい。
・ちょっと待ってよ
なんでも早く知らせればよいのかというと、必ずしもそうとは限らない。たとえば脆弱性の問題などは、その最たるものだろう。確かに、ユーザーに欠陥を知らせて対処してもらえば、被害を抑えることができるかも知れない。が、日々セキュリティ上の問題に耳をそばだて、自発的に対処していけるユーザーは、ごく一部の限られた人たちだ。さらに考慮しなくてはいけないのが、この手の情報に強い関心を持っている人の中には、それを逆手にとろうとたくらんでいる者が少なからずいるという困った問題である。
脆弱性の公表は、一歩間違えるとそんな悪意のある者たちの前に、無防備な多くのユーザーをさらす結果になってしまう。そこで、まずは直接あるいはしかるべき機関を通じて間接的に、開発者たちにこっそり問題を通知。そして、それが修正されるのを待つ。誰もが、確実に安全を手に入れられるようになるまで待って、それから公表するというのが正しい手順なのである。
2005/05/09 Firefoxに極めて重大な2件の脆弱性
現地時間5月8日、日曜日であるにもかかわらず突然こんな警告が流れた。2件の脆弱性を併用すると、ユーザーのシステムに任意のプログラムがインストールできてしまうというかなり深刻な問題だ。
これらは、その数日前に開発者たちに報告され、本来なら修正が済むまで非公開になっているはずのものだった。ところが何者かがリークし、脆弱性を突くコードまで公開されるという、最悪の状況になってしまった。こうなるとあとは、できるだけ早く、より多くの人に注意を促すしかない。それが、異例ともいえる突然の警告だった。
とりあえずいくつかの手立てが講じられ、最悪のシナリオは回避。11日には英語版の、13日には日本語版の修正版がリリースされ、ひとまずこの問題は片がついた。が、「何事もなくてよかったね」といえるのは、修正版にアップデートしたユーザーだけだということを忘れないで欲しい。
・終わらないシナリオ
セキュリティアップデートが公開されると、しばしばその後を追うように、修正された脆弱性を突くマルウェア【*注】が登場する。新鮮な情報が手に入り、アップデートしていないユーザーが相当数見込めるこの時期は、悪意のある者たちにとっては、絶好の攻撃チャンスなのだ。
セキュリティアップデートを適用していなければ、ユーザーの環境は、それまでと何も変わらない。変わったのは、問題点が公になったということだけ。すなわち、最悪の状況になったということ。そしてこの最悪のシナリオが、バッドエンドを迎えるその日まで、えんえんと続くのである。（鈴木）
【*注】 マルウェア（malware）：malicious software（悪意のあるソフトウェア）の略で、ウイルスやワームのようなシステムに損害を与えることを目的に作られたプログラムの総称。