「セキュリティ情報開示ルールのドラフトがセキュリティ業界団体から公開」記事へのコメント

結局のところ

[taotao (13793)]

ルールを決めても、それに従ってくれないと意味が無いわけだが。

Re:結局のところ

[Napper (6812)]

やはり何らかの形でペナルティがないと、ルールが有効に
働かないでしょうね。
ペナルティとは、必ずしも罰金などの制裁ではなくても、社名と
ルールに違反した事実・経緯が公表され、それが消費者に
正しく伝わればいいと思います。
最終的にそのベンダーの製品を選択するかどうかは消費者が
自分で判断するべきことでしょう。
しかし、提灯記事満載の「マスコミ」や感情先行型の「クレーマー
サイト」ではなく、バイアスのない（せめて少ない）メディ

Re:結局のところ

[Anonymous Coward]

>ところで、もし１年間のセキュリティホール公開件数が０件という
>ベンダと100件のベンダがあったとしたら、どちらを選びますか？

　もし、利用度される頻度や発展速度が同じくらいであり、更に
そこにしか考慮する情報がないとするならば、100件のところにします。
0であるっていうのが大きくマイナスなので。
(これが1～10件とかなら、発展速度にもよりますが、多くの場合は
そちらを選ぶでしょう)

　とはいえ、利用するベンダの選択ってそれだけじゃないですから、
あまり意味のある設問のようには感じないのですが…。

Re:結局のところ

[Landie(GRG) (6950)]

>とはいえ、利用するベンダの選択ってそれだけじゃないですから、
>あまり意味のある設問のようには感じないのですが…。

こういう場合、触れられていない部分は全てイーブン(値段も機能も性能も)であると考えれば楽(笑)になります。

それはさておき、「0件」ではベンチマーク不参加と同義。
こういうベンチマークで見るべきは穴の数ではなく、いかに迅速的確に穴を塞いだか、ですから。

放りっぱなしは論外として、まあそこそこに塞いでるのなら、100件の方を選ぶかも。「0件」が、他で見つけられる前に全部自前で見つけて塞いでたから、だったら別ですが。

Re:結局のところ

[Anonymous Coward]

「0件」が、他で見つけられる前に全部自前で見つけて塞いでたから、だったら別ですが。

これって「世に出る前に」自前で見つけて塞いだ場合ですよね。
世に出た後なら自前かどうかは関係ないですから。