crs

Rust は C言語に比較してメモリ安全である、はある程度正しいけれど、メモリに関連する脆弱性は全体の一部でしかなく、開発言語を開発言語を変えればすなわちセキュリティが増す、みたいなのは正しくないかなと思う。 そして Rust でも脆弱なコードはいくらでも書ける。 よくシステム開発は建築に例えられるが、Rust に変えたら安全という考え方は、「地震にはやたら強いけど、火が入ったら一瞬で燃え尽きる」、のようなことになりかねない。 セキュリティは、持っている資産とリスクに応じて多面的・多層的に防御を張ることで万全に近い状態になるものであり、特定の何かをしたら万全なのでない。 政府介入でセキュリティを担保できるとすれば、政府がそれぞれの事業者の扱う情報について質と量とに基づき格付けを行い、一定のランクを超える事業者には一定のセキュリティ対策（第三者による脆弱性検査等含む）と報告を義務化するという方向かなと思う。 経営視点でセキュリティへの投資が行われにくいのは、そこにかけるコストとリスク／利益とがバランスしないから。 そこに報酬または罰則を与え、無理やりリスクまたは利益を高めてしまうということで、セキュリティ投資することにインセンティブがある状態を作ることが大切。 ただ、これを情報種別だけで義務化すると、低資本の企業参画を抑制し、自由競争を阻害する可能性があるため、扱われる情報規模に応じた猶予を設けることで徐々に全体をセキュアにしていくという移行措置が良いかな、と。