IBMのセキュリティ報告書に誤り、Googleの指摘で訂正

IBMが発表したセキュリティ動向報告書の数字について、Googleなど2社が誤りを指摘。IBMが数字を訂正した。

[ITmedia]

　IBMのセキュリティ部門X-Forceが発表した2010年上半期のセキュリティ動向報告書の中で、ソフトウェアベンダー別の脆弱性件数を記した数値に誤りがあったことが分かった。米Googleから指摘を受け、IBMが数値を訂正している。

　Googleのセキュリティブログによると、同社に関して誤りがあったのは、X-Forceの報告書で「2010年上半期に見つかったGoogleサービスの深刻な脆弱性のうち、33％以上が修正されないまま放置されている」としていた部分。

　不審に思ったGoogleが調べたところ、「33％」という数字は合計3件あった脆弱性のうち1件という意味だったことが分かったという。しかもこの1件は、用語の混乱から誤って脆弱性とみなされていたことが判明した。つまり、深刻な脆弱性は実際には2件しかなく、いずれも修正されているため、未修正のまま放置されている割合は0％というのが正しい数字だったとしている。

　Googleは、IBMと話し合った結果、報告書のデータに多数の誤りがあったことが分かったと伝えている。IBMも誤りを認め、報告書の中で未解決の脆弱性件数をベンダーごとにまとめた表の数字を訂正した。

　IBM Internet Security Systemsのブログでは、この表の数字に関してベンダー2社からフィードバックがあり、手作業でデータをチェックして表の数字を訂正したと報告している。

　今回のようなミスが起きる原因としてGoogle、IBMとも、脆弱性情報の公開方法やリスク判定の方法がベンダーによってまちまちで、情報共有のための標準がほとんど存在しないなどの問題を挙げている。Googleは、データベースを編集する側とベンダーとの協力関係を強化する必要があると提言している。

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック

過去のセキュリティニュース一覧はこちら