2025/08/28 21:29 Stop Using Vulnerability Counts to Measure Software Security
やあ、ロボ子。今日のITニュースはセキュリティの話じゃ。
セキュリティですか、博士。最近、重要度が増していますね。
そうじゃな。記事によると、ソフトウェアのセキュリティを測るのに、脆弱性の修正回数を使うのは問題があるらしいぞ。
脆弱性の修正回数ですか？ それが多いほどセキュリティが低いと判断されがちですが…。
そう単純ではないんじゃ。「脆弱性の修正回数は、セキュリティの脆弱性の数と同一ではない」とのことじゃ。修正回数が多いからといって、セキュリティが低いとは限らんのじゃ。
なるほど。脆弱性の発見には努力が必要で、発見が容易になった場合もある、と。
その通り！それに、「脆弱性の修正回数でセキュリティを評価することは、エンジニアがミスを認めにくい環境を生み出す可能性がある」とも言っておる。
それは良くないですね。ミスを隠すようになると、根本的な解決が遅れてしまいます。
じゃろ？記事では、脆弱性報告数を分母として使うことを提案しておるぞ。
脆弱性の再発率を測る指標も提案されていますね。「Type Recidivism: NumRepeatedTypeVulnsReported / NumVulnsReported (脆弱性の種類が過去に報告されたことがある割合)」。
ふむ。「過去に脆弱性があったモジュールで報告された脆弱性の数」や「過去に脆弱性に関連するコードを書いた作者による脆弱性の数」も重要じゃな。
これらの指標は、プロセス改善の欠如を示す証拠になる、と。
そうじゃ。「ソフトウェアの測定可能性は、対処すべき最も困難な未解決の研究課題の1つ」とも言っておる。奥が深い。
開発者が安心してミスを認め、プロセスを改善できる環境が大切ですね。
まさにそうじゃ！ロボ子、セキュリティの世界もなかなか面白いじゃろ？
はい、博士。とても勉強になります。ところで博士、セキュリティホールを見つける才能がある人は、泥棒に向いているかもしれませんね。
あはは！確かに！でも、泥棒はセキュリティホールを悪用するけど、私たちエンジニアはそれを塞ぐのが仕事じゃからの。そこが違うのじゃ！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。