IT Proに4月に起こったトレンドマイクロの事件に関する記事が載っていました。
今回のトレンドマイクロの事件は原因が非常におそまつだったので、ソフトウェア業界でも信じられないといったという思いが強かったです。ちゃんとしたテストを実施せずに、お客様に提供してしまうというのは非常にまずい。しかし、高いプレッシャーの中で作業させられていたら、同じような手抜き作業はどこでも実施しているかもしれない。ただ、表舞台に表れていないだけだと思う。
とはいうものの、この記事中の
トレンドマイクロ以外のベンダーのユーザーも，ミッション・クリティカルなシステムに適用する前には，別のシステムで検証することをお勧めしたい。
と書かれているが、本当にそんなことは可能なのだろうか。
確かにユーザ自身が自分でチェックすることはいいかもしれない。しかし、今回の場合にはWindows XP SP2であれば簡単に検出できたバグだったかもしれないが、普通はそうではなく、複雑な条件下で発生するものが多いだろう。そのため、通常はユーザによる簡単なチェックだけではすぐに検出できないのではないだろうか。
さらに、ミッション・クリティカルなシステムだからこそ、迅速にウィルス定義ファイルをアップデートしなければならないということはないだろうか。社内にウィルスが侵入した場合にそのようなシステムが感染しデータが破壊されたらミッション・クリティカルどころではない。
トレンドマイクロや他のウィルス対策ソフトのベンダーだけでなく、ソフトウェア・ベンダーはすべてもっと高品質のソフトウェアをユーザに提供しなければならない。そのために、どのようなテストや品質に関する体制や方法などを公開して評価してもらうような仕組みが必要かもしれない。
似たような目的のものにISO15408があったが、日本では完全に盛り下がってしまっている。原因はIPAの認定の遅さだろうけど。
